WO1999065754A1 - Processeur multisysteme, controleur connecte a un processeur multisysteme et systeme de traitement multisysteme - Google Patents

Processeur multisysteme, controleur connecte a un processeur multisysteme et systeme de traitement multisysteme Download PDF

Info

Publication number
WO1999065754A1
WO1999065754A1 PCT/JP1999/003235 JP9903235W WO9965754A1 WO 1999065754 A1 WO1999065754 A1 WO 1999065754A1 JP 9903235 W JP9903235 W JP 9903235W WO 9965754 A1 WO9965754 A1 WO 9965754A1
Authority
WO
WIPO (PCT)
Prior art keywords
processing
processing device
multiplex
unit
controller
Prior art date
Application number
PCT/JP1999/003235
Other languages
English (en)
French (fr)
Inventor
Atsushi Kawabata
Michio Fujiwara
Hiroyasu Sato
Dai Watanabe
Kenji Oguma
Hiroyuki Toyoda
Hiroshi Sato
Original Assignee
Hitachi, Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi, Ltd. filed Critical Hitachi, Ltd.
Priority to EP99925359A priority Critical patent/EP1104735A4/en
Publication of WO1999065754A1 publication Critical patent/WO1999065754A1/ja

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/182—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits based on mutual exchange of the output between redundant processing components
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B61—RAILWAYS
    • B61L—GUIDING RAILWAY TRAFFIC; ENSURING THE SAFETY OF RAILWAY TRAFFIC
    • B61L1/00—Devices along the route controlled by interaction with the vehicle or train
    • B61L1/20—Safety arrangements for preventing or indicating malfunction of the device, e.g. by leakage current, by lightning
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B61—RAILWAYS
    • B61L—GUIDING RAILWAY TRAFFIC; ENSURING THE SAFETY OF RAILWAY TRAFFIC
    • B61L19/00—Arrangements for interlocking between points and signals by means of a single interlocking device, e.g. central control
    • B61L19/06—Interlocking devices having electrical operation
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
    • G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/187—Voting techniques

Definitions

  • Multiprocessor and controller connected to multiprocessor and multiprocessor
  • the present invention relates to a multiplex processing apparatus that controls a plurality of processing apparatuses to perform the same processing, and controls a control target apparatus based on a processing result of each processing apparatus.
  • the present invention relates to a multiplex processing device and a multiplex processing system that perform efficient data transfer to a controlled device, such as a train control controller that requires high reliability.
  • the processing system in the railway field receives "train position”, "pointer status”, and “signal status” in order to control the controllers of traffic signals and switches, and controls the traffic signals and switches according to the relationship. ing.
  • These functional configurations are as follows: (1) Information such as the position of the train and the orientation of the point machine is taken in, the chain relation of the taken-in information is judged, and the judgment result and the command are given according to the command from the host device. A processing device that outputs a switch command for a switch or a control command for a traffic signal to the controller. (2) Power control such as switching the switch or lighting a signal lamp in accordance with the command of the processing device. And a controller to perform.
  • Controllers that switch signals and switches, and processors that output commands to these controllers, etc., are required to be safe, as failures can quickly lead to train accidents, and therefore require high reliability. Is done.
  • the basic concept of these systems is a "fail-safe system" that stops operation while maintaining a safe state.
  • a controller such as a fail-safe processing device or a traffic signal
  • a processing device having a multiplex system configuration is often used.
  • the safety of a multi-processor is based on the idea that the probability that multiple computers fail simultaneously and create the same erroneous information is extremely low.
  • one of the multiplexed processing units is used as a main processing unit, and the main processing unit outputs a control command to a signal controller and a subordinate processing unit, and outputs the control command.
  • the slave processing unit that has received the request performs control registration to monitor whether this control data is correct, and the traffic signal controller sends the received control command back to the processing device, and receives all the control commands returned from the traffic signal controller.
  • the processing unit verifies the validity of the control instruction, and if there is no problem, the main processing unit instructs the traffic signal controller to start control based on the control command previously transmitted to the traffic signal controller.
  • the control is executed by issuing a command.
  • safety is ensured because control is executed after all systems confirm that the control command created by the main processing unit has been transmitted to the signal controller without fail.
  • the number of wires between the multiplex processing device and the controller in this conventional example is several.
  • each processing device configured as a multiplex system outputs a control command to a signal or a switch via a parallel line configured by bits corresponding to one-to-one.
  • the traffic signal controller that receives the signal makes a majority decision on each bit of the data, and discloses a technology for controlling the switches and traffic lights.
  • safety can be ensured by taking the majority of outputs from multiple processing units, so the two-stage control described above is not necessary.
  • the number of wires between the multiplex processing device and the controller in this conventional example is usually several hundred.
  • a control instruction is sent from a multiprocessor to a controller. Even if it is transmitted, when actually controlling the traffic light controller, the above-described two-step control of control registration and control execution is performed, so that it takes a lot of execution time to actually move the traffic light and the like.
  • each of the multiplexed processing units and the traffic signal controller are connected by a parallel line having the same number of bits as the number of control targets such as a traffic signal and a switch. Therefore, when the number of controlled objects increases, the number of wirings increases, so the applicable location is a small station with few controlled objects.
  • the two-stage control shown in the first conventional technique requires a long processing time instead of a small number of wirings, and the processing time is short in the method of taking a majority decision by the traffic signal controller shown in the second conventional technique.
  • the number of wirings is increased.
  • An object of the present invention is to provide a system capable of handling a large station without increasing the number of wires between a multiplex processing device and a controller under the premise that safety is not impaired, and to reduce power, time, and execution time. It is to realize.
  • the multiplex processing apparatus of the present invention is configured by a plurality of processing apparatuses each receiving the same input, performing the same processing, and generating and outputting each processing result.
  • one arbitrary processing device is defined as a main processing device
  • another processing device is defined as a slave processing device
  • the main processing device includes a plurality of slave processing devices and a master processing device.
  • This problem can be solved by configuring a collection unit that collects processing results and an output unit that outputs the processing results collected by the collection unit to the controller.
  • the processing result of the slave processing device and the processing result of the main processing device are collectively output to the controller by the main processing device, the number of wirings can be reduced. Further, since the majority decision or the match is determined on the controller side, the processing time required for data transmission can be reduced as compared with the two-step control.
  • each processing device constituting the multiplex system holds a unique encoding key, and all data is encoded by the encoding key and transmitted to the main system.
  • the master system also encodes its own data with its own encoding key, and outputs it together with the data from the slave system.
  • the processing device that receives the data holds all the decryption keys, decrypts the data using the keys, and performs majority or matching processing. in this case, No matter how the main system fails, if the slave coding key is not available, it will not be possible to falsify the data received from the slave system, as it is, and security will be ensured.
  • FIG. 1 is a diagram showing a basic configuration of a multiplex processing apparatus according to the present invention.
  • FIG. 2 is a diagram for explaining the processing (operation) of each processing device constituting the multiplex system processing device.
  • FIG. 3 is a diagram for explaining the processing (operation) contents of each processing device constituting the multiplex system processing device.
  • FIG. 4 is a diagram showing a processing procedure of the controller according to the present invention.
  • FIG. 5 is a diagram showing a processing procedure of the controller according to the present invention.
  • FIG. 6 is a diagram for explaining in detail the multiplex processing apparatus according to the present invention.
  • FIG. 7 is a diagram showing a specific configuration of a failure diagnosis device according to the present invention.
  • FIG. 8 shows a format of data exchanged between the multiplex processing apparatus and the controller according to the present invention.
  • FIG. 9 shows a data structure transmitted from the multiplex processing device to the controller according to the present invention.
  • FIG. 10 shows a format of display data used in the present invention.
  • FIG. 11 is a diagram showing a processing flow of the main processing apparatus according to the present invention.
  • FIG. 12 is a diagram showing a processing flow of a slave processing apparatus according to the present invention.
  • FIG. 13 is a diagram showing a processing flow of the slave processing device according to the present invention.
  • FIG. 14 is a diagram showing a processing flow of the main processing unit according to the present invention.
  • FIG. 1 shows a multiplex processing system to which the present invention is applied.
  • the multiplex processing apparatus 100 receives a control request for controlling a traffic light, a switch, and the like from a higher-level device (not shown) via a line 108 and performs the same processing (operation). It is composed of a plurality of processing devices 101 to 103 that output processing results.
  • the controller 107 is a signal or a switch connected to the controller 107, It actually controls the track circuit, etc., receives the processing result transmitted from the multi-processor 100, and actually controls the traffic light and the switch according to the received processing result. is there.
  • the multiplex processor 100 and the controller 107 are connected by a line 121 and transfer data and information. As shown at 10, the multiplex processing apparatus 100 and the controller 107 connected via the line 121 can be collectively regarded as the multiplex processing system 10.
  • the line 108 also has a role of transmitting various types of sensor information such as a traffic light, a point machine, and a track circuit from the multiplex processing device 100 to the host device.
  • the processing devices 101 to 103 are the respective processing devices constituting the multiplex processing device 100, and the processing devices 101 to 103 have the same functional functions. .
  • Each of the processing devices 101 to 103 receives the same input (a control request for a signal or a switch from the host device) from the host device via the line 108 and performs the same processing (operation). Thus, the processing result is output.
  • an arbitrary one of a plurality of processing devices 101 to 103 constituting the multiplex processing device 100 is defined as a main processing device, and the remaining processing devices are defined as slave processing devices.
  • the method of selecting any one of the main processing units can be set by the operator, and the main processing unit can be switched (selected) by time using a timer or the like.
  • FIG. 1 the processing in the case where the processing device 101 is selected as the main processing device and the remaining processing devices 102 and 103 become the sub-processing devices will be described.
  • each processing unit performs the same processing, which will be described later, by the processing unit 11012 according to the control request received from the higher-level apparatus, and outputs the processing result.
  • the slave processing units 102 and 103 send the processing results of the own processing unit to the main processing unit.
  • the main processing unit 101 collects the processing results sent from the slave processing units 102 and 103 by the collecting unit 1011, and the processing results of its own processing unit, and outputs the data to the output unit 1101.
  • Numeral 013 outputs the processing result from each processing device to the controller 107 via the line 121.
  • the multiprocessor 100 issues a switch instruction, a traffic light control instruction, and the like.
  • the controller 107 which has received the output from the multiplex processing apparatus 100, issues control commands for each traffic light, a switching machine, etc., based on the transmitted processing result by arithmetic operation such as majority decision described later in detail. Create and output control commands via a parallel line 122 that connects local equipment such as traffic lights, points, track circuits, etc., not shown. Specifically, track circuit information and the like are output. With such a configuration, the controller 107 does not need to ensure the issuance of the control instruction to the multiprocessor 100, so that the processing time can be reduced, and the main system of the multiprocessor 100 can be shortened. Since the processing results are collected by the processing device 101, the number of lines can be reduced.
  • Each of the processing units 101 to 103 exchanges information with each other to confirm whether each processing unit is operating normally. Based on this information, which processing unit is By grasping whether an error has occurred in the processing unit and adding to the processing result from each processing device information on whether the operation is normal or abnormal, and sending it to the controller, higher accuracy is achieved. Control can be performed.
  • the abnormality determination by this information exchange will be described in detail with reference to FIGS.
  • Each processing unit of the multi-processor 100 is transmitted from the controller 107 via the line 121, such as information on “train position”, “pointer status”, “signal status”, and the like. Information is received in advance, and a control command is actually output to the controller based on the information received in advance and a control request from a higher-level device.
  • the multiplex processing device 100 requests the setting of a route such that the train 2 shown in FIG. Request), the information received in advance from the controller 107 indicates that a stop signal is issued to prevent a collision because there is a train on line 1. Will be shown. " When a route setting request (control request) for traveling to line 2 is received from a higher-level device, the information received in advance indicates that "there is no train on line 2 and the train is permitted to proceed.” Is output. Also, in FIG.
  • the multiplex processing apparatus 100 when the multiplex processing apparatus 100 receives a route setting request (control request) for causing the train 2 to proceed to the second track by a higher-level device, the multiplex processing device 100 A processing result such as "The point machine in front of the train is already reserved for train 1 and cannot proceed to line 2 and a stop signal" is output.
  • FIG. 4 The processing performed by the controller 107 will be described with reference to FIGS. 4 and 5.
  • FIG. 4 The processing performed by the controller 107 will be described with reference to FIGS. 4 and 5.
  • the controller 107 takes in the data from the traffic signal, the turning machine, the control circuit, etc., which are actually arranged in the controller 107 via the wiring 122 via the wiring 122 (step 4 0 1), a redundant code is added to the acquired data (step 4 02), and the data is copied to create three sets of data (step 4 0 3). Then, the three sets of data are respectively coded using the coding keys corresponding to the processing devices 101 to 103 (step 404), and the configuration information is added.
  • the data in the format shown in FIG. 9C is assembled (step 405), and the data is transferred to the main processor 101 of the multiplex processor 100.
  • the controller 107 copies data for the processing units that make up the multiprocessor, because the data sent to the main processor 101 of the multiprocessor 100 is copied to the main processor. This is to prevent the processing device 101 from being falsified.
  • the processing result transmitted from the multiplex processing apparatus 100 is received (step 501), and the processing result is decomposed for each processing apparatus (step 502).
  • the data is decrypted using the decryption keys corresponding to the processing devices 101 to 103 (step 503),
  • the redundant code of each processing result is confirmed (step 504).
  • the processing result in which an abnormality is found is discarded (step 505), and the following processing is continued for the processing result in which no abnormality is found.
  • a majority decision is taken for each bit and final control information is determined (step 506).
  • the controller 107 outputs a control command to an actual traffic light, a switch, a control circuit, etc. connected to the controller 107 (step 507).
  • a traffic signal, a switch, or the like which has received a control command from the controller 107, turns on a signal lamp or switches the switch, based on the control command.
  • the data of all the processing devices constituting the multiplex system is once collected in the main system and then transmitted collectively, and further, the data on the operation status of all the processing devices is also transmitted at the same time. .
  • the controller transmitted from the multiplex processing device can grasp how many sets of data are transmitted, and can execute a majority decision or a match determination without delay.
  • communication is transmitted in a more orderly manner without congestion, and output data of a processing system in which operation is stopped is output. There is no need for the recipient to wait unnecessarily.
  • the security of the processing system having the multiplex configuration described in this specification is ensured by mutually confirming that all the processing systems perform exactly the same operation. For example, the judgment that a certain contact is ON is made by the processing systems of the multiplex system in parallel, and the results agree. The coincidence of such operations is confirmed by exchanging input / output data or data in the middle of calculation.
  • the process of collecting and transmitting data from the slave processing devices collectively is an operation performed only by the main processing device, and there is no means for guaranteeing its validity.
  • the master may erroneously rewrite the data received from the slave, creating erroneous information for Tsuji.
  • the processing device that receives the data can detect errors by using a method such as majority decision or match judgment. Therefore, erroneous control is performed.
  • FIG. 6 shows a configuration in which failure determination devices 104 to 106 for determining a failure and a plurality of associated circuits are added to the basic configuration described in detail in FIG.
  • lines 109 to 111 are used for processing units 101 to 103 to exchange information with each other and to confirm that each processing unit is operating normally. It is provided.
  • the processing units 101 to 103 exchange input / output data with each other immediately after data or information is input to each processing unit or immediately before outputting data or information. Confirm with each other by exchanging through one.
  • the processing devices 101 to 103 each output a temporary diagnosis result when exchanging data.
  • the processing unit 101 receives data and the like from the processing unit 102 and the processing unit 103 and compares the data with its own data. 0 1 is normal, processing unit 102 is normal, processing unit 103 is normal), and if only the data of processing unit 103 is different from its own data, etc.
  • processing unit 101 Is normal, processing unit 102 is normal, processing unit 103 is abnormal
  • processing unit 101 is normal
  • processing unit 103 is normal
  • processing unit 1 0 1 is normal
  • processor 1 0 2 is abnormal
  • processor 1 0 3 is abnormal
  • the lines 109 to 111 collect data and the like in a main processing unit described later, control data between the processing units, or observe data. It can also be used to exchange data.
  • Failure judging device 104 receives the soundness judgment made by the processing devices 101 to 103, and based on the information, judges the failure of the processing devices 101 to 103. This is a failure determination device for determination.
  • the failure judgment device 104 receives the information of the soundness judgment from the processing device 101, and exchanges the information with the failure judgment devices 105, 106 to exchange the information with each other. judge.
  • the determination regarding the soundness of the processing device 101 is ⁇ (processing device 101 is normal, processing device 102 is normal, processing device 103 is normal) '(processing device 101 is normal, processing unit 102 is normal, processing unit 103 is abnormal), (processing unit 101 is normal, processing unit 102 is abnormal, processing unit 103 is normal) , (Processing unit 101 is normal, processing unit 102 is abnormal, processing unit 103 is abnormal)).
  • the failure determination device 104 receives this information, and transmits information on the processing device 102 to the failure determination device 105 and information on the processing device 103 to the failure determination device 106. Further, information on the processing device 101 is received from the failure determination device 105 and the failure determination device 106. That is, the failure determination device 104 determines that the processing device 101 has determined its own processing system, that the processing device 102 has made a determination regarding the processing device 101, and that the processing device 103 has determined. The three judgment results of the judgment regarding the processing device 101 are received. Here, if two or more judgment results are normal, the processing device 101 is normal, otherwise, the processing device 101 is determined to be abnormal and the judgment result is transmitted to the processing device 101. I do. The processing device 101 continues or stops operating based on the determination result. The failure determination devices 105 and 106 perform the same processing as the failure determination device 104. For example, consider the case where the processing device 101 has failed.
  • processor 101 has determined that the entire system is normal in the soundness determination. Since the processing units 102 and 103 are normal, it is determined that the processing unit 101 is out of order. Processing equipment 1 The judgment results obtained in 01 to 103 are sent to failure judgment devices 104 to 106, where the following logical judgment is made.
  • the processing unit 101 Since two processing units determined that the processing unit 101 was abnormal, the processing unit 101 was determined to be out of order by majority vote.
  • Processing unit 102 determination regarding processing unit 102 Normal
  • the processing unit 102 Since three processing units determined that the processing unit 102 was normal, the processing unit 102 was determined to be normal.
  • the processing device 103 Since three processing devices determined that the processing device 103 was normal, the processing device 103 was determined to be normal.
  • Lines 115, 117, and 119 are used to transmit the information on the soundness judgment of each processing unit sent by the processing units 101 to 103 to the failure diagnosis units 104 to 106. Transmission path.
  • Lines 1 16, 1 18, and 120 are used to transmit the information on the failure judgment of each processing unit, which was issued by the failure diagnosis units 104 to 106, to the processing units 101 to 103. It is a transmission line.
  • Lines 112 to 114 are communication lines for exchanging information on the soundness judgment of each processing unit, which has been made by the processing units 101 to 103, via the failure judgment unit 104 to 106. It is.
  • the line 121 is a communication line created by the multiplex processing unit 100 for transmitting control instructions for the switches and traffic signals to the controller 107 and transmitting information from the controller 107 to the multiplex processing unit 100. is there.
  • a soundness judgment determination circuit 1041 is for dividing information relating to the soundness judgment of the processing device 101 according to each of the processing devices 101 to 103.
  • Wirings 1044, 1211, and 1141 are used to transmit the results of soundness judgments for the processing units 101, 102, and 103, respectively.
  • the OFF signal flows. These signals are determined based on the result determined by the processing device 101.
  • Wirings 1 122 and 1 142 are both wires that transmit the result of the soundness judgment for 101, and an ON signal when judged to be sound, and an OFF signal when judged to be unhealthy. Flows.
  • the signal flowing through the wiring 1122 is determined based on the result determined by the processing device 102, and the signal flowing through the wiring 1142 is determined based on the result determined by the processing device 103.
  • the wirings 111 and 112 are shown as 112 in FIG. In Fig. 7, since the sending and receiving are distinguished from each other, 1 12 is divided into 1 121 for sending information and 1 122 for receiving information. Similarly, the wirings 1141 and 1142 are shown as 1 14 in FIG. 4, but are separated into 1 141 and 1 142 to distinguish between sending and receiving. .
  • a wiring 1042 is a circuit that receives a signal from the wirings 1 122 and 1142 and performs an OR operation. With this circuit, an ON output is generated when either or both of 102 and 103 determine that “101 is healthy”.
  • Reference numeral 1043 denotes wiring for transmitting the output of 1042 to 1045, and information based on the soundness determination of 102 and 103 regarding 101 flows.
  • 1045 is a circuit that receives signals from 1041 and 1042 and performs an AND operation.
  • 1041 reports the result of 101's health judgment on 101 itself
  • 1042 outputs the result of the soundness judgment regarding 101 made by 102 and 103.
  • the output of 1045 is ON only when 101 itself determines that 101 is healthy and either 102 or 103 determines that 101 is healthy, otherwise, Turns off.
  • the functions of 104 to 106 the majority of the judgments of the processing devices 101 to: I and 03 are taken, and the failure judgment of 101 to 103 is executed.
  • the processing device determined to have no failure is the main system, and the other systems are the subordinate systems. As long as at least one slave is reserved, 100 will continue to operate. In other words, even if one fails during 101-103 operation, one of the remaining two becomes the master system and the other becomes the slave system, and the operation continues, but if two fail, 100 stops working. If a failure occurs in the main system during operation of the three systems, the processing device that had been operating as a slave system is newly assigned to the main system, and operation continues.
  • the software of the multiplex processing device operating on the processing devices 101 to 103 generates data for controlling the switches and the traffic lights in the format shown in FIG. 8 (a).
  • a switch turns in two directions (localization direction and inversion direction), but the data generates bit string information corresponding to each direction of each switch.
  • information corresponding to the red, yellow, and blue light bulbs is generated in the form of bit string information corresponding to each traffic light.
  • the meaning of each information is on when control is executed and off when control is not executed.
  • a redundant code is added to the data of FIG. 8 (a) to create data of the format shown in FIG. 8 (b).
  • the redundant code a parity code, a CRC code, or the like can be used.
  • data of the format shown in FIG. 8 (c) is generated using the encoding key individually possessed by each interlocked logical device for the data of FIG. 8 (b).
  • a coding method it is possible to use a well-known DES code or the like as an encryption method, but here, a mask data having a sufficient bit length prepared in advance is used for each bit. 2 shows an encoding method for performing an exclusive OR operation on.
  • the data of the format shown in FIG. 8 (c) generated by the processing devices 101 to 103 is once collected in the main system via the wirings 109 to 111.
  • the processing unit 101 is a main processing unit. If it is, the data in the format shown in FIG. 8 (c) generated by the processing units 102 and 103 is collected in the main processing unit 101.
  • the main processing unit 101 creates data in the format shown in FIG. 9 using the collected processing results.
  • three data fields are data in which the data of the format of FIG. 8 (c) processed (calculated) by the processing units 101 to 103 are embedded as they are.
  • the configuration information includes information on the operation status of the processing devices 101 to 103. For example, if the processing unit 101 fails and the processing units 102 and 103 are operating, this is the location where information such as 101 failure, 102 operation, and 103 operation is stored. .
  • the configuration information is summarized, but information indicating the operation state of each processing device may be added for each processing result.
  • the data in the format shown in FIG. 9 is transmitted from the main processor 101 to the controller 107 via the line 121.
  • the main processing unit 101 receives data in the format shown in FIG. 10 from the controller 107 via the line 121.
  • the format of each data field in FIG. 9 is the format in FIG. 8 (c).
  • the main processing unit 101 transmits each data of the data field to each of the processing units only via the lines 109 to 111 according to the format information of the format data in FIG. Transmit to the processing device.
  • the processing units 101 to 103 receive the data of the format shown in Fig. 8 (c) received via the lines 109 to 111, and To generate data in the format shown in Fig. 8 (b).
  • the redundant code is checked.If an error is found, the corresponding message is discarded.If no error is found, the redundant code is removed and data in the format shown in Fig. 8 is generated. I do.
  • information on the state of the track circuit is also added in the form of a bit string.
  • FIG. 11 shows the processing operation of the main processing unit.
  • the main processing unit 101 receives the data in the format shown in FIG. 8 (c) from the controller 107 (step 1 101), and thereafter, based on the configuration information included in the data, the main processing unit and each sub processing unit. (Step 1102), and the data for the slave processing device is transmitted to each slave processing device (Step 1103).
  • the data for the main processor is decrypted using the decryption key unique to the processor itself (step 1104), and the validity of the information is checked by checking the added redundant code. Confirm (Step 1 105). If the information is determined to be invalid, the data is discarded (step 1106). If the data is determined to be valid, a control request from the higher-level device is waited for.
  • FIG. 12 is a diagram showing a process for data sent from the master processing device to the slave processing device.
  • Each of the slave processors 102 and 103 receives the data from the master processor 101 (step 1201), and decrypts the received data using a decryption key that is uniquely held by each of the slave processors (step 1). 202) Then, the validity of the data is determined by checking the added redundant code (step 1203). If the data is determined to be invalid, the data is discarded (step 1204), and if the data is determined to be valid, a control request from the higher-level device is waited for.
  • FIG. 13 shows a processing flow from receiving a control request from a higher-level device in a slave processing device to transmitting a processing result to the main processing device.
  • the slave processing device Upon receiving the control request from the higher-level device, the slave processing device performs processing (operation) on each control request as described with reference to FIGS. 2 and 3 (step 1301). A redundant code is added to the processing result (step 1302), and the data is coded using a coding key that is unique to each processing device (step 1303). The result data is transmitted to the main processing unit (step 1304).
  • FIG. 14 shows a processing flow from receiving a control request from a higher-level device in the main processing device to transmitting a processing result to the controller 107.
  • the main processing unit When the main processing unit receives a control request from a higher-level device in the same manner as the slave processing unit, it performs processing (calculation) for each control request as described with reference to FIGS. 2 and 3 (step 14). 0 1). A redundant code is added to the processing result (step 1402), and data is encoded using an encoding key which is uniquely owned by each processing device (step 1403).
  • the main processing unit When the main processing unit outputs the processing result of its own processing unit, it receives the encoded processing result transmitted from each slave processing unit (step 1444), and performs each processing in response to the control request of the higher-level unit.
  • the processing results of the apparatus are assembled together (step 1405), and the collected processing results are transmitted to the controller 107 (step 1407).
  • the present invention can also be applied to a multiplex system configuration of four or more systems. Also in the case of a double system configuration, in the case of a majority decision, the present invention can be applied by adding a priority such as giving priority to the processing result of the main processing unit.
  • each data is encoded and transmitted to prevent tampering. If there is no danger of tampering, it is conceivable to transmit the processing result etc. as it is without performing encoding as necessary.
  • the majority operation is performed.
  • the present invention When the present invention is used, the following effects can be obtained in the communication between the multiplex processing device and the controller on the premise that the security is not impaired. Since the controller determines the processing result processed by the multiprocessor and generates the control instruction, the execution time can be reduced. In addition, even if the number of wires between the multiprocessor and the controller is small and the number of control points is large, the amount of wires does not change, so that it can be used for large stations.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mechanical Engineering (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Hardware Redundancy (AREA)
  • Train Traffic Observation, Control, And Security (AREA)
  • Multi Processors (AREA)
  • Processing Of Solid Wastes (AREA)

Description

明 細 書 多重系処理装置及び多重系処理装置に接続された コントローラ及び多重系処理システム
技術分野
本発明は、 複数の処理装置に同一の処理を行わせ、 各処理装置による処理結果 に基づいて、 制御対象装置の制御を行う多重系処理装置に係り、 特に鉄道分野に おいて、 信号機や転轍機等の高い信頼性を求められる列車制御のコントローラを 制御対象装置とし、 この制御対象装置に対して効率の良いデータ転送を行う多重 系処理装置、 及び多重系処理システムに関する。
背景技術
鉄道分野における処理システムは、 信号機や転轍機のコントローラを制御する ために、 「列車の位置」 ， 「転てつ機の状態」 ， 「信号機の状態」 を受け取り、 その関係により信号機や転轍機を制御している。 これらの機能構成は、 （1 ) 列 車の位置や転てつ機の向き等の情報を取り込み、 取り込んだ情報の連鎖関係を判 定し、 上位装置からの命令に従い、 判定結果と命令とにより、 コントローラに対 して転てつ機の転換命令や、 信号機の制御命令を出力する処理装置、 （2 ) 処理 装置の指令に従い、 転てつ機転換、 あるいは信号機のランプ点灯などの電力制御 を行うコントローラ、 とにより構成されている。
信号機の信号の切り替えや、 転轍機の切り替え等を行うコントローラ及びこの コントローラに命令を出力する処理装置は、 故障が、 即、 列車事故につながって しまうため安全性が要求され、 そのため高い信頼性が要求される。 また、 仮にこ れらのシステムに故障が発生した場合にも、 安全な状態を保つて動作を停止する という 「フェールセーフシステム」 がこれらのシステムの基本思想である。 フエ —ルセーフな処理装置や信号機等のコントローラを実現するには、 多重系構成に よる処理装置が用いられる場合が多い。 多重系構成された処理装置の安全性は 「複数の計算機が同時に故障し、 同じ誤情報を作成してしまう確率は極めて低 い」 という考え方に基づいている。 多重系構成の処理装置からの出力により制御命令を発行する場合には、 多重系 構成の処理装置より出力される複数の出力を 1組に絞り込み、 かつ、 その正当性 を保証する必要が有る。 このような考え方に基づく従来技術としては、 文献 「岩 本他：新しい電子連動装置と現場機器との情報伝送：第 2 9回鉄道におけるサイ バネテイクス利用国内シンポジウム論文集、 P . 4 9 9〜 5 0 3， （1 9 9 2 )」 (第 1の従来技術） に記載されているような、 多重系構成された連動論理装置 (多重系処理装置） と、 フェールセーフ性が保証されている信号機コントローラ との間で、 安全に情報の伝送を行う技術を開示している。 この従来技術では、 ま ず、 多重系構成された処理装置のうちの 1つを主系処理装置とし、 この主系処理 装置が、 信号機コントローラ及び従系処理装置に制御命令を出力し、 制御命令を 受け取つた従系処理装置がこの制御データが正しいかどうかを監視する制御登録 を行い、 また、 信号機コントローラは受け取った制御命令を処理装置に送り返し、 信号機コントローラから制御命令の返信を受けた全ての処理装置は、 この制御命 令の正当性を検証し、 問題がなければ、 主系処理装置が、 先に信号機コント口一 ラに送信した制御命令に基づいて、 制御を開始するよう信号機コントローラに指 令を出すという制御実行を行っている。 この従来技術は、 主系処理装置が作成し た制御命令が、 確実に信号機コントローラに伝送されたことを全ての系が確認し た後に、 制御が実行されるので安全性は確保される。 尚、 この従来例での多重系 処理装置とコントローラ間の配線数は数本である。
また、 第 2の従来技術として、 文献 「川端他：故障発生時の継続使用条件を考 慮した小型電子連動装置の開発：電気学会論文誌 D、 p . 1 3 4 8〜 1 3 5 6，
( 1 9 9 7 ) 」 がある。 この従来技術は、 多重系構成された各処理装置が、 信号 機や転てつ機などに 1対 1に対応したビットにより構成されたパラレル回線を介 して制御命令を出力し、 この制御命令を受けた信号機コントローラが、 データの 各ビットに関する多数決を行い、 転てつ機や信号機を制御するという技術を開示 している。 この技術では、 複数の処理装置からの出力の多数決を採ることにより 安全性が確保できるので先に示した 2段階の制御は必要ない。 また、 この従来例 での多重系処理装置とコントローラ間の配線数は通常数百本である。
前述した第 1の従来技術では、 多重系処理装置からコントローラに制御命令を 送信しても、 実際に信号機コントローラを制御する際には、 前述した制御登録、 制御実行の 2段階制御となるため、 実際に信号機等を動かす場合には実行時間が 多くかかってしまう。 また、 前述した第 2の従来技術では、 多重系構成された各 処理装置と、 信号機コントローラが、 信号機や転てつ機等の制御対象の数だけビ ット数を持つパラレル回線により接続されるため、 制御対象が多くなると配線が 増えてしまうため、 その適用箇所は、 制御対象の少ない小さな駅になってしまう。 すなわち、 第 1の従来技術に示す 2段階制御では、 配線数が少ない代わりに処 理時間が多くかかつてしまい、 第 2の従来技術に示す信号機コントローラで多数 決を採る方法では、 処理時間は短いが配線数が多くなるという問題がある。
発明の開示
本発明の目的は、 安全性を損なわないという前提のもと、 多重系処理装置とコ ントローラ間の配線を増やすことなく、 大きな駅にも対応可能で、 力、つ、 実行時 間の短い装置を実現することにある。
このような問題点を解決するために、 本発明の多重系処理装置は、 それぞれが 同一の入力を受け取って同一の処理を行い、 各処理結果を生成して出力する複数 の処理装置により構成され、 複数の処理装置のうち、 ある任意の 1つの処理装置 を主系処理装置、 他の処理装置を従系処理装置とし、 主系処理装置は、 複数の従 系処理装置及び主系処理装置の処理結果を収集する収集部と、 収集部により収集 された処理結果をコントローラに出力する出力部とにより構成することにより解 決される。 このように主系処理装置にて従系処理装置の処理結果及び主系処理装 置の処理結果をまとめてコントローラに出力するため配線数が少なくすることが 可能である。 またコントローラ側で、 多数決、 あるいは一致を判定する構成であ るので、 2段階制御に比べてデータ伝送に要する処理時間が短くすることができ る。
本発明では、 多重系を構成する各処理装置がユニークな符号化鍵を保持してお り、 データは全てこの符号化鍵により符号化されて主系に伝送される。 主系は、 自らのデータも自分の符号化鍵で符号化し、 従系からのデータと一緒にしてまと めて、 出力する。 データを受信した処理装置では、 全復号化鍵を保持しており、 データをその鍵を用いて複号化し、 多数決または、 一致処理を行う。 この場合、 主系がどのように故障したとしても、 従系符号化鍵が手に入らなければ、 従系か ら受け取つたデータをもつともらしく改ざんすることは、 不可能となり安全性が 確保される。
図面の簡単な説明
第 1図は、 本発明による多重系処理装置の基本構成を示す図である。
第 2図は、 多重系処理装置を構成する各処理装置の処理 （演算） 内容を説明す るための図である。
第 3図は、 多重系処理装置を構成する各処理装置の処理 （演算） 内容を説明す るための図である。
第 4図は、 本発明によるコントローラの処理手順を示す図である。
第 5図は、 本発明によるコントローラの処理手順を示す図である。
第 6図は、 本発明による多重系処理装置を詳細に説明するための図である。 第 7図は、 本発明による故障診断装置の具体的構成を示す図である。
第 8図は、 本発明による多重系処理装置とコントローラ間でやり取りされるデ ータの形式である。
第 9図は、 本発明による多重系処理装置からコントローラへ送信するデータ構 成である。
第 1 0図は、 本発明で用いる表示データの形式である。
第 1 1図は、 本発明による主系処理装置の処理フローを示す図である。
第 1 2図は、 本発明による従系処理装置の処理フロ一を示す図である。
第 1 3図は、 本発明による従系処理装置の処理フローを示す図である。
第 1 4図は、 本発明による主系処理装置の処理フローを示す図である。
発明を実施するための最良の形態
以下では、 第 1図を用いて本発明による基本構成について詳細に説明する。 第 1図は、 本発明が適用される多重系処理システムを示したものである。 多重 系処理装置 1 0 0は、 図示しない上位装置から回線 1 0 8を介して、 信号機や転 てつ機等を制御するための制御要求を受け取って同一の処理 （演算） を行い、 各 各処理結果を出力する複数の処理装置 1 0 1〜1 0 3により構成される。
コントローラ 1 0 7はコントローラ 1 0 7に接続されている信号機や転てつ機、 軌道回路等を実際に制御するものであり、 多重系処理装置 1 0 0からの送信され る処理結果を受け取って、 受け取った処理結果に応じて実際に信号機や転てつ機 を制御するものである。
多重系処理装置 1 0 0とコントローラ 1 0 7とは回線 1 2 1により接続され、 データや情報の転送を行っている。 尚、 1 0に示すようにこの多重系処理装置 1 0 0と回線 1 2 1で接続されたコントローラ 1 0 7をまとめて多重系処理システ ム 1 0としてとらえることも可能である。 また、 回線 1 0 8は多重系処理装置 1 0 0から上位装置に信号機や転てつ機、 軌道回路等の各種センサー情報を送信す る役割も有している。
次に、 多重系処理装置 1 0 0を構成する処理装置 1 0 1〜 1 0 3について処理 概要を説明する。
処理装置 1 0 1〜 1 0 3は、 多重系処理装置 1 0 0を構成する各処理装置であ り、 各処理装置 1 0 1〜1 0 3は機能的に同一の機能を有している。 各処理装置 1 0 1〜1 0 3は、 上位装置から回線 1 0 8を介して同一の入力 （上位装置から の信号機や転てつ機の制御要求） 受け取り、 同一の処理 （演算） を行うことによ り処理結果を出力するというものである。
本願発明の基本構成の動作について説明する。
本願発明では、 多重系処理装置 1 0 0を構成する複数の処理装置 1 0 1〜 1 0 3のうち、 任意の 1つを主系処理装置とし、 残りの処理装置を従系処理装置とす る。 この任意の 1つの主系処理装置の選択の仕方は、 オペレータが設定を行うこ とも可能であり、 また、 タイマー等により時間により主系処理装置の切り替え (選択） を行うことも可能である。
第 1図では、 処理装置 1 0 1が主系処理装置として選択され、 残りの処理装置 1 0 2， 1 0 3が従系処理装置となった場合の処理について説明する。
主系処理装置、 従系処理装置を問わず各処理装置は、 上位装置から受け取った 制御要求により後述する同一の処理を処理部 1 0 1 2により行い処理結果を出力 する。
そして、 従系処理装置 1 0 2， 1 0 3は自処理装置の処理結果を主系処理装置 に送る。 主系処理装置 1 0 1は、 収集部 1 0 1 1により従系処理装置 1 0 2， 1 0 3力、 ら送られてきた処理結果と自処理装置の処理結果を収集し、 出力部 1 0 1 3は、 各処理装置からの処理結果を回線 1 2 1を介してコントローラ 1 0 7に出力する。 具体的には、 多重系処理装置 1 0 0からは、 転てつ機転換命令、 信号機制御命令 等がだされる。
多重系処理装置 1 0 0からの出力を受け取ったコントローラ 1 0 7は、 送信さ れてきた処理結果に基づいて後に詳述する多数決等の演算により各信号機や転て つ機等の制御命令を作成し、 図示していない信号機や転てつ機、 軌道回路などの 現地設備間を接続するパラレル回線 1 2 2を介して制御命令を出力する。 具体的 には軌道回路情報等が出力される。 このような構成により、 コントローラ 1 0 7 は多重系処理装置 1 0 0に制御命令発行の確 をとる必要がないため処理時間が 短縮することができ、 また多重系処理装置 1 0 0の主系処理装置 1 0 1により処 理結果がまとめるので回線数も少なくすることができる。
尚、 各処理装置 1 0 1〜1 0 3には、 互いに各処理装置が正常に動作している かを確認しあうため情報交換を行っており、 この情報により各処理装置どうしは どの処理装置に異常が発生しているかを把握して、 各処理装置からの処理結果に 対して正常動作しているか異常が発生しているかの情報を付加してコントローラ に送信することにより、 より精度の高い制御を行うことができる。 尚、 この情報 交換による異常判定については、 第 6図， 第 7図において詳しく説明する。
次に、 第 2図， 第 3図を用いて、 多重系処理装置 1 0 0の各処理装置が行う処 理 （演算） について説明する。
多重系処理装置 1 0 0の各処理装置はそれぞれコントローラ 1 0 7から回線 1 2 1を経由して、 「列車の位置」 ， 「転てつ機の状態」 ， 「信号の状態」 等の情 報を予め受け取つており、 これら予め受け取った情報と、 上位装置からの制御要 求により実際にコントローラに制御命令を出力するものである。
この処理を具体的に説明すると、 多重系処理装置 1 0 0が、 上位装置より回線 1 0 8を介して、 第 2図に示す列車 2が 1番線に進入するような進路の設定要求 (制御要求） を受け取った場合には、 コントローラ 1 0 7から予め受け取つてい る情報により、 「1番線に列車が存在しているので、 衝突防止のため停止信号が 示される」 という処理結果出力される。 また、 上位装置より 2番線に進行するよ うな進路の設定要求 （制御要求） を受け取った場合には、 予め受け取つている情 報により、 「2番線に列車は存在していないので、 進行許可」 との処理結果が出 力される。 また、 第 3図では、 多重系処理装置 1 0 0が、 上位装置により列車 2 を 2番線に進行させるような進路の設定要求 （制御要求） を受け取った場合には、 予め受け取った情報より、 「列車の前方にある転てつ機が、 すでに列車 1用に予 約されているため、 2番線に進行できず、 停止信号」 との処理結果が出力される というものである。
第 4図， 第 5図を用いて、 コントローラ 1 0 7の行う処理内容について説明す る。
まず、 第 4図を用いて、 多重系処理装置 1 0 0を構成する処理装置 1 0 1〜1 0 3の行う処理 （演算） のためのデータを、 多重系処理装置 1 0 0に送信する処 理について説明する。
コントローラ 1 0 7は、 コントローラ 1 0 7に配線 1 2 2を介して実際に配置 されている信号機や転てつ機， 制御回路等からのデータを配線 1 2 2を介して取 り込み （ステップ 4 0 1 ) 、 取り込んだデータに冗長符号を付カ卩し （ステップ 4 0 2 ) 、 そのデータをコピーして 3組のデータを作成する （ステップ 4 0 3 ) 。 そして、 それらの 3組のデ一タを、 処理装置 1 0 1〜1 0 3に対応した、 符号化 鍵を用いてそれぞれ符号化し （ステップ 4 0 4 ) 、 構成情報を付加して、 第 8図 ( c ) の形式のデータを組み立てて （ステップ 4 0 5 ) 、 多重系処理装置 1 0 0 の主系処理装置 1 0 1に向けてデータを転送する。 コントローラ 1 0 7側でデー タを多重系処理装置を構成する処理装置分コピーしているのは、 多重系処理装置 1 0 0の主系処理装置 1 0 1に送られたデータを、 主系処理装置 1 0 1が改ざん できないようにするためである。
次に、 多重系処理装置 1 0 0の主系処理装置 1 0 1から送られてきた処理結果 をどのように処理するかについて第 5図を使って説明する。
多重系処理装置 1 0 0から送信されてきた処理結果を受信し（ステップ 5 0 1 )、 その処理結果を各処理装置別に分解する （ステップ 5 0 2 ) 。 次に、 処理装置 1 0 1〜1 0 3に対応した復号化鍵を用いてデータを複号化し（ステップ 5 0 3 )、 各処理結果の冗長符号を確認する （ステップ 5 0 4 ) 。 確認の結果、 異常が発見 された処理結果のものは破棄され （ステップ 5 0 5 ) 、 異常が発見されなかった 処理結果のものに関しては、 以下の処理が継続される。 この処理を通った処理結 果は、 各ビットごとの多数決が採られ最終的な制御情報が決定される （ステップ 5 0 6 ) 。 この結果に基づき、 コント口一ラ 1 0 7は、 コントローラ 1 0 7に接 続されている実際の信号機や転てつ機、 制御回路等に制御命令を出力する （ステ ップ 5 0 7 ) 。 コントローラ 1 0 7から制御命令を受けた信号機、 転てつ機等は、 制御命令に基づき、 信号灯を点灯したり、 転てつ機を切り換えたりする。
次に、 前述した各処理装置の相互監視による故障診断の具体例について説明す る。
本発明では、 多重系を構成している全ての処理装置のデータを一旦主系に集め てから、 まとめて送信しており、 さらに、 全ての処理装置の動作状況に関するデ ータも同時に送信する。 このため、 多重系処理装置から送信されるコントローラ は、 何組のデータが送られてくるのかを把握することができ、 多数決、 あるいは 一致判定を滞りなく実行することができる。 このような構成では、 多重系を構成 する各処理装置が個別にデータをコントローラに転送する構成に比べて、 通信が 輻輳することなく整然と伝送され、 また、 動作を停止した処理系の出力データを 受信者側が無用に待ち合わせることもない。
尚、 本明細書で述べている多重系構成の処理系に関する安全性は、 全ての処理 系が全く同じ演算を行っていることをお互いに確認しあうことにより、 確保され ている。 たとえば、 ある接点を O Nするといつた判断は、 多重系構成の処理系が 全て平行して行い、 その結果も一致する。 このような動作の一致を、 入出力デー タ、 あるいは演算途中のデータを互いに交換しあうことにより確認するものであ る。
ところが、 従系処理装置からのデータを集めてまとめて送信する処理は主系処 理装置のみが行う動作であり、 その正当性を保証する手段はない。 その結果、 最 悪の場合、 主系が従系から受け取ったデータを誤って書き換えてしまい、 辻棲の あう、 誤情報を作成するというケースが考えられる。 この場合、 データを受け取 つた処理装置では、 多数決、 一致判断などの手法では誤りを検出することができ ず、 誤制御を行うことになる。
この問題を解決するには、 符号化の技術を導入する必要がある。 符号化処理に よる情報伝送とは、 受け手と送り手が共通の鍵を持ち、 送り手はその鍵で情報を 符号化し、 受け手は符号化された情報を、 保持している鍵を用いて復号ィヒする方 式である。 この方式は、 符号化された情報が他に渡っても内容が漏えいしない、 という符号化技術本来の特徴があるだけではなく、 不正なデータ改ざんが不可能 な点が大きな特徴でもある。 不正な改ざんが不可能なため、 受け手は、 受け取つ た情報が正当な物であるならば、 その情報の発信者を特定することが可能となる。 この特徴を利用することにより、 「従系処理装置からのデータを集めてまとめて 出力する主系処理装置の処理」 の正当性が保証されなくとも、 安全性を確保する ことが可能となる。
以下、 詳細に説明する。
第 6図においては、 第 1図で詳述した基本構成に、 故障の判定を行う故障判定 装置 1 0 4〜1 0 6とそれに伴う複数の回線が付加された構成となっている。 第 6図において、 回線 1 0 9〜1 1 1は、 処理装置 1 0 1〜1 0 3が互いに情 報交換をして、 互いに各処理装置が正常に動作しているかを確認しあうために備 えられている。 処理装置 1 0 1〜1 0 3は、 各処理装置にデータや情報が入力さ れた直後やデータや情報を出力する直前等に、 互いの入出力データを、 回線 1 0 9〜： 1 1 1を介して交換することにより互いに確認している。
まず、 処理装置 1 0 1〜 1 0 3はそれぞれデータをやりとりすることに仮の診 断結果を出力する。 例えば、 処理装置 1 0 1は処理装置 1 0 2， 処理装置 1 0 3 からデータ等を受け取り、 自分のデータ等と比較することにより、 全てのデータ がー致する場合には、 （処理装置 1 0 1は正常， 処理装置 1 0 2は正常， 処理装 置 1 0 3は正常） と、 処理装置 1 0 3のデータだけが自分のデータ等と異なって いる場合には （処理装置 1 0 1は正常、 処理装置 1 0 2は正常、 処理装置 1 0 3 は異常） と、 処理装置 1 0 2のデータだけが自分のデータと異なっている場合に は、 （処理装置 1 0 1は正常、 処理装置 1 0 2は異常、 処理装置 1 0 3は正常） と、 処理装置 1 0 2と処理装置 1 0 3のデータが両方とも自分のデータと異なつ ている場合には、 （処理装置 1 0 1は正常、 処理装置 1 0 2は異常、 処理装置 1 0 3は異常） と判断する。 さらに、 回線 1 0 9〜1 1 1は、 コントローラ 1 0 7 にデータ等を転送する際に、 後述する主系処理装置にデータ等を収集したり、 各 処理装置間の制御用データ、 あるいは観測データ等の交換にも用いることができ る。
故障判定装置 1 0 4〜： I 0 6は、 処理装置 1 0 1〜 1 0 3が行った健全性の判 断を受け取り、 その情報に基づき、 処理装置 1 0 1〜1 0 3の故障を判定する故 障判定装置である。
ここでは、 故障判定装置 1 0 4の動作に関して詳しく説明する。
故障判定装置 1 0 4は、 処理装置 1 0 1から健全性判断の情報を受け取り、 そ の情報を故障判定装置 1 0 5， 1 0 6と互いに交換しあうことにより 1 0 1の故 障を判定する。 例えば、 処理装置 1 0 1の健全性に関する判断は、 上述したよう に、 { (処理装置 1 0 1は正常、 処理装置 1 0 2は正常、 処理装置 1 0 3は正 常） ' (処理装置 1 0 1は正常、 処理装置 1 0 2は正常、 処理装置 1 0 3は異 常） ， （処理装置 1 0 1は正常、 処理装置 1 0 2は異常、 処理装置 1 0 3は正 常） ， （処理装置 1 0 1は正常、 処理装置 1 0 2は異常、 処理装置 1 0 3は異 常） } のいずれかである。 故障判定装置 1 0 4はこの情報を受け取り、 処理装置 1 0 2に関する情報は故障判定装置 1 0 5へ、 処理装置 1 0 3に関する情報は、 故障判定装置 1 0 6へ送信する。 また、 故障判定装置 1 0 5， 故障判定装置 1 0 6からは、 処理装置 1 0 1に関する情報を受けとる。 即ち、 故障判定装置 1 0 4 は、 処理装置 1 0 1が自分で判断した自処理系の判断、 処理装置 1 0 2が下した 処理装置 1 0 1に関する判断、 処理装置 1 0 3が下した処理装置 1 0 1に関する 判断の 3個の判断結果を受けとる。 ここで、 2個以上の判断結果が正常であれば、 処理装置 1 0 1は正常、 そうでなければ、 処理装置 1 0 1は異常と判断し、 その 判断結果を処理装置 1 0 1に送信する。 処理装置 1 0 1はその判断結果に基づき、 動作を継続、 あるいは停止する。 故障判定装置 1 0 5， 1 0 6も故障判定装置 1 0 4と同様の処理を行う。 例えば、 処理装置 1 0 1が故障を起こした場合を考え る。
処理装置 1 0 1は健全性判断で、 仮に全系正常と判断したとする。 処理装置 1 0 2， 1 0 3は正常であるため、 処理装置 1 0 1は故障と判断する。 処理装置 1 0 1〜 1 0 3で得られた各判断結果は、 故障判定装置 1 0 4〜 1 0 6に送られ、 そこで次のような論理判断が行われる。
ぐ故障判定装置 1 0 4の判断〉
処理装置 1 0 1に関する処理装置 1 0 1の判断：正常
処理装置 1 0 1に関する処理装置 1 0 2の判断：異常
処理装置 1 0 1に関する処理装置 1 0 3の判断：異常
2個の処理装置が処理装置 1 0 1を異常と判断したため、 多数決により処理装 置 1 0 1は故障と判断。
<故障診断装置 1 0 5の判断 >
処理装置 1 0 2に関する処理装置 1 0 1の判断：正常
処理装置 1 0 2に関する処理装置 1 0 2の判断：正常
処理装置 1 0 2に関する処理装置 1 0 3の判断：正常
3個の処理装置が処理装置 1 0 2を正常と判断したため、 処理装置 1 0 2は正 常と判断。
<故障診断装置 1 0 6の判断 >
処理装置 1 0 3に関する処理装置 1 0 1の判断：正常
処理装置 1 0 3に関する処理装置 1 0 2の判断：正常
処理装置 1 0 3に関する処理装置 1 0 3の判断：正常
3個の処理装置が処理装置 1 0 3を正常と判断したため、 処理装置 1 0 3は正 常と判断。
回線 1 1 5， 1 1 7， 1 1 9は処理装置 1 0 1〜1 0 3が下した、 各処理装置 の健全性判断に関する情報を故障診断装置 1 0 4〜1 0 6に伝送するための伝送 路である。
回線 1 1 6， 1 1 8， 1 2 0は故障診断装置 1 0 4〜1 0 6が下した、 各処理 装置の故障判断に関する情報を処理装置 1 0 1〜 1 0 3に伝送するための伝送路 である。
回線 1 1 2〜 1 1 4は、 処理装置 1 0 1〜 1 0 3が下した各処理装置の健全性 判断に関する情報を故障判定装置 1 0 4〜1 0 6経由で交換するための通信回線 である。 回線 1 21は、 多重系処理装置 100が作成した、 転てつ機や信号機の制御命 令をコントローラ 107に伝送したり、 コントローラ 107の情報を多重系処理 装置 100に伝送するための通信回線である。
次に、 第 7図を用いて、 故障判定装置 104〜106の内部構成について説明 する。
第 7図において、 健全性判断判定回路 1041は、 処理装置 101の健全性判 断に関する情報を、 処理装置 101〜103の各処理装置に応じて分割するため のものである。
配線 1044， 1 121， 1 141は、 それぞれ、 処理装置 101， 102， 103に関する健全性判断の結果が伝送される配線であり、 健全と判断した場合 には ON信号、 不健全と判断した場合には、 OFF信号が流れる。 これらの信号 は、 処理装置 101が判断した結果に基づいて決定される。
配線 1 1 22， 1 142は、 両方とも、 101に関する健全性判断の結果が伝 送される配線であり、 健全と判断した場合には ON信号、 不健全と判断した場合 には、 OFF信号が流れる。 配線 1 122を流れる信号は、 処理装置 102が判 断した結果に基づいて決定され、 配線 1 142を流れる信号は、 処理装置 103 が判断した結果に基づいて決定される。 配線 1 1 21， 1 1 22は、 第 6図にお いて 1 1 2と示されていたものである。 第 7図では、 送りと受けを区別して表現 したため、 1 12が情報送りだし用の 1 1 21， 情報受け取り用の 1 1 22に分 けて表現されている。 同様に、 配線 1 141， 1 142は、 第 4図において 1 1 4と示されていたものであるが、 送りと受けを区別するために、 1 141， 1 1 42に分けて表現されている。
配線 1042は、 配線 1 1 22， 1142から信号を受け取り、 論理和演算を 行う回路である。 本回路により、 102， 103のいずれか、 あるいは両方が、 「101は健全である」 と判断した場合に、 ON出力が生成される。
1043は、 1042の出力を 1045に伝える配線であり、 101に関する 102， 103の健全性判断に基づく情報が流れる。
1045は、 1041， 1042から信号を受け取り、 論理積演算を行う回路 である。 1041は、 101が下した 101自身に関する健全性判断の結果を、 1042は、 102， 103が下した 101に関する健全性判断の結果を出力す る。 1045の出力は、 101自身が 101が健全であると判断し、 かつ、 10 2, 103のいずれか、 あるいは両方が 101が健全であると判断した場合に限 り、 ONとなり、 それ以外では、 OFFとなる。 104〜106の機能により、 処理装置 101〜： I, 03の判断の多数決が採られ、 101〜 103の故障判定が 実行される。
処理装置 101〜103の中で、 故障無しと判定された処理装置が主系となり、 他の系は従系となる。 少なくとも 1個の従系が確保されるかぎり、 100は動作 を継続する。 即ち、 101〜103動作中に、 1個が故障を起こしたとしても、 残りの 2個のどちらかが主系、 残りが従系となり、 動作を継続するが、 2個が故 障した場合には、 100は動作を停止する。 尚、 3個の系で動作中に、 主系が故 障を起こした場合には、 それまで従系として動作していた処理装置を新たに主系 に割り付けて、 動作を,継続する。
処理装置 101〜103の上で動作する多重系処理装置のソフトウエアは、 転 てつ機や信号機を制御するためのデータを、 第 8図 （a) に示す形式で生成する。 一般的に、 転てつ機は 2方向 （定位方向， 反位方向） に転換するが、 データで は、 各転てつ機の各方向に対応したビット列情報を生成する。 信号機に関しても、 赤， 黄， 青等の電球に対応した情報を各信号機に対応したビット列情報の形で生 成する。 各情報の意味は、 制御を実行するときに on、 実行しないときに off とな る。 101〜103では、 第 8図 （a) のデータに、 冗長符合を付加して、 第 8 図 （b) に示す形式のデータを作成する。 冗長符合としては、 パリティ一符合、 CRC符合等を用いることが可能である。 さらに、 101〜103では、 第 8図 (b) のデータに、 それぞれの連動論理装置が個別に持っている符合化鍵を用い て、 第 8図 （c) に示す形式のデータを生成する。 符合化の方式としては、 暗号 方式として著名な DES符合等を用いることが可能であるが、 ここでは、 あらか じめ用意してある、 十分なビット長のあるマスクデータを用いて、 ビット毎の排 他的論理和演算を行う符号化方式を示している。
処理装置 101〜 103で生成した、 第 8図 （ c ) 形式のデータを配線 109 〜1 1 1を介して一旦、 主系に集める。 例えば、 処理装置 101が主系処理装置 であった場合には、 処理装置 1 0 2， 1 0 3で生成した、 第 8図 （c ) 形式のデ 一タを主系処理装置 1 0 1に集める。
主系処理装置 1 0 1は、 集まった各処理結果を用いて、 第 9図に示す形式のデ ータを作成する。 第 9図において、 3個のデータフィールドは、 処理装置 1 0 1 〜1 0 3が処理 （演算） した第 8図 （c ) の形式のデータをそのまま埋め込んだ 物である。 構成情報は、 処理装置 1 0 1〜1 0 3の動作状況に関する情報が含ま れている。 例えば、 処理装置 1 0 1が故障， 処理装置 1 0 2， 1 0 3が動作中で あれば、 1 0 1故障， 1 0 2動作， 1 0 3動作という情報が格納される場所であ る。
この例では、 構成情報をまとめているが、 各処理結果毎に、 各処理装置の動作 状態を示す情報を加えるようにしてもよい。
第 9図の形式のデータは、 主系処理装置 1 0 1から回線 1 2 1を介してコント ローラ 1 0 7に伝送される。
逆に、 コントローラ 1 0 7からのデータを受け取る場合には、 次のようになる。 主系処理装置 1 0 1は、 コントローラ 1 0 7から回線 1 2 1を介して第 1 0図 に示す形式のデータを受け取る。 第 9図の各データフィールドの形式は第 8図 ( c ) の形式である。
次に、 主系処理装置 1 0 1は、 第 9図の形式データの構成情報に従って、 動作 中の処理装置に関してのみ、 データフィールドの各データを回線 1 0 9〜1 1 1 を介してそれぞれの処理装置に伝送する。
処理装置 1 0 1〜1 0 3は回線 1 0 9〜1 1 1を介して受け取った第 8図 ( c ) 形式のデータを、 それぞれの連動論理装置が個別に持っている複号化鍵を 用いて、 第 8図 （b ) に示す形式のデータを生成する。 ここで、 冗長符号の確認 を行い、 異常が発見された場合には、 該当電文を破棄し、 異常が発見されなかつ た場合には、 冗長符号を取り除いて、 第 8図の形式のデータを生成する。 第 8図 の形式のデータでは、 転てつ機や信号機の各情報に対応したビット列に加えて、 軌道回路の状態に関する情報もビット列の形で加える。
第 1 1図〜第 1 4図を用いて多重系処理装置 1 0 0を構成する主系処理装置及 び従系処理装置の処理内容について説明する。 第 1 1図において、 多重系処理装置を構成する各処理装置が処理 （演算） を行 うためのデータをコントローラ 107から主系処理装置 1◦ 1が受け取つてから 上位装置から制御要求が来るまでの主系処理装置の処理動作を示している。 主系処理装置 101はコントローラ 107から、 第 8図 （c) 形式のデータを 受け取り （ステップ 1 101) 、 その後、 データに含まれる構成情報に基づいて 主系処理装置分と、 各従系処理装置分のデータに分解し （ステップ 1 102) 、 従系処理装置分のデータについては、 各従系処理装置に伝送する （ステップ 1 1 03) 。 その後主系処理装置分のデータに対して、 自処理装置独自の複号化鍵を 用いてデータを復号化し （ステップ 1 104) 、 付加されている冗長符号を確認 することにより情報の正当性を確認する （ステップ 1 105) 。 情報が正当でな いと判断された場合にはそのデータを破棄し （ステップ 1 106) 、 データが正 当であると判断されれば、 上位装置からの制御要求を待つ。
第 1 2図は、 主系処理装置から自従系処理装置に送られてきたデータに対する 処理を示す図である。
各従系処理装置 102， 103は、 主系処理装置 101からデータを受け取り (ステップ 1201) 、 各従系処理装置独自に保持する複号化鍵を用いて受け取 つたデータを複号化し （ステップ 1 202) 、 付加されている冗長符号を確認す ることでデータの正当性を判断する （ステップ 1 203) 。 データが正当でない と判断されるとそのデータを破棄し （ステップ 1 204) 、 デ一タが正当である と判断されると上位装置からの制御要求を待つ。
次に、 第 13図， 第 14図のフローにより、 上位装置から多重系処理装置 10 0へ制御要求が入力された場合の、 主系処理装置 101， 従系処理装置 102， 103の処理について説明する。
第 1 3図は、 従系処理装置における上位装置から制御要求を受け取つてから主 系処理装置へ処理結果を送信するまでの処理フローを示す。
従系処理装置は、 上位装置から制御要求を受け取ると、 第 2図， 第 3図により 説明したような各制御要求に対して処理 （演算） を行う （ステップ 1301)。 この処理結果に冗長符号を付加し （ステップ 1302) 、 各処理装置独自に保有 する符号化鍵を用いてデータを符号化し （ステップ 1303) 、 符号化した処理 結果のデータを主系処理装置に送信する （ステップ 1 3 0 4 ) 。
第 1 4図は、 主系処理装置における上位装置から制御要求を受け取つてからコ ントローラ 1 0 7へ処理結果を送信するまでの処理フローを示す。
主系処理装置は、 従系処理装置と同様に上位装置から制御要求を受け取ると、 第 2図， 第 3図により説明したような各制御要求に対して処理 （演算） を行う (ステップ 1 4 0 1 ) 。 この処理結果に冗長符号を付加し （ステップ 1 4 0 2 ) 、 各処理装置独自に保有する符号化鍵を用いてデータを符号化する（ステップ 1 4 0 3 )。 主系処理装置は自処理装置の処理結果を出力すると、 各従系処理装置か ら送信されてきた符号化された処理結果を受け取り （ステップ 1 4 0 4 ) 、 上位 装置の制御要求に対する各処理装置の処理結果をまとめて組立て （ステップ 1 4 0 5 ) 、 まとめた処理結果をコントローラ 1 0 7に伝送する （ステップ 1 4 0 7 ) 。
このような 3重系以上の多重系構成の処理装置では、 1個の系が故障しても、 残りの系で動作継続が可能である場合が多いが、 たとえば、 3重系構成の処理装 置で単系故障により、 2重系構成となっても、 2重系出力の一致を判定すれば、 安全を損なうことなく動作,継続が可能となる。
以上の説明では、 多重系処理装置 1 0 7が 3重系にて構成されている例につい て説明したが、 4系以上の多重系構成においても適用できる。 また、 2重系構成 の場合にも、 多数決同数の場合には、 主系処理装置の処理結果を優先させる等の 優先度を付加することにより適用できる。
また、 多重系処理装置を構成する各処理装置間のデータ伝送と、 多重系処理装 置とコントローラのデータ伝送については、 改ざん防止のため各データを符号化 して伝送する例について説明したが、 改ざんの危険性が無い場合などは、 必要に 応じて符号化を行わずにそのまま処理結果等を伝送することも考えられる。
また、 コントローラ 1 0 7では、 多数決演算を行っているが、 全てのデータが 一致した場合のみに有効な制御を行うような一致演算にすることも可能である。 産業上の利用可能性
本発明を用いると、 多重系処理装置と、 コントローラ間の通信において、 安全 性を損なわないという前提のもと、 次に示すような効果が得られる。 多重系処理装置により処理された処理結果をコントローラにより判断して制御 命令を生成するので、 実行時間を短縮することができる。 また、 多重系処理装置 とコントローラ間の配線が少なく、 制御点数が多くなつても、 配線の量に変化が ないので、 大きな駅にも対応可能である。

Claims

請求の範囲
1. それぞれが同一の入力を受け取って同一の処理を行い、 各処理結果を生成 して出力する複数の処理装置により構成される多重系処理装置において、 前記複数の処理装置のうち、 ある任意の 1つの処理装置を主系処理装置、 他の 処理装置を従系処理装置とし、
前記主系処理装置は、 前記従系処理装置及び前記主系処理装置の処理結果を収 集する収集部と、 該収集部により収集された処理結果を出力する出力部とから構 成された多重系処理装置。
2. 前記出力部は、 前記収集部により前記複数の処理装置からの処理結果が収 集されると、 該処理結果をまとめて出力する構成である請求の範囲第 1項記載の
3. 前記収集部は、 前記複数の処理装置のうち、 正常動作している処理装置の 処理結果が収集されると、 該処理結果をまとめて出力する請求の範囲第 2項記載 の多重系処理装置。
4. 前記出力部は、 前記処理結果を出力する際、 前記複数の処理装置の動作状 態を付加して出力する請求の範囲第 1項〜第 3項のいずれかに記載の多重系処理
5. 前記従系処理装置は、 それぞれ自処理装置の出力結果を各々の処理装置が 保持している独自の符合化鍵により符合化した後に前記主系処理装置出力し、 前記主系処理装置は、 自処理装置の保持している独自の符合化鍵により符号ィ匕 し、 前記複数の従系処理装置から収集した符号化された処理結果に、 前記主系処 理装置の符号ィヒされた処理結果をまとめてから出力する請求の範囲第 1項〜第 4 項のいずれかに記載の多重系処理装置。
6. 多重系処理装置に接続されたコントローラであって、
該多重系処理装置から該多重系処理装置を構成する処理装置からの処理結果が まとめて送信されてきた場合、 受信した複数の処理結果の多数決、 あるいは一致 を判定して制御命令を出力するコントローラ。
7. 前記多重系処理装置から送信された処理結果が符号化されていた場合、 前 記多重系処理装置を構成する処理装置それぞれに対応した複号化鍵を用いて、 受 信した各処理結果を複号化し、 その後に、 データ間の多数決、 あるいは一致を判 定して制御命令を出力する請求の範囲第 6項記載のコントローラ。
8. それぞれが同一の入力を受け取って同一の処理を行い、 各処理結果を生成 して出力する複数の処理装置により構成される多重系処理装置と該多重系処理装 置に接続されたコントローラによって構成される多重系処理システムにおいて、 前記多重系処理装置を構成する前記複数の処理装置のうち、 ある任意の 1つの 処理装置を主系処理装置、 他の処理装置を従系処理装置とし、 前記主系処理装置 は、 前記従系処理装置及び前記主系処理装置の処理結果を収集する収集部と、 該 収集部により収集された処理結果を出力する出力部とから構成された多重系処理 装置と、
該多重系処理装置の該多重系処理装置を構成する処理装置からの処理結果がま とめて送信されてきた場合、 受信した複数の処理結果の多数決、 あるいは一致を 判定して制御命令を出力するコントローラとからなる多重系処理システム。
9. 前記多重系処理装置を構成する各処理装置は、 該各処理装置独自に自処理 結果を符号化する符号化鍵を保持し、 該符号化鍵により符号化した処理結果を前 記コントローラに出力し、
前記コントローラは、 前記多重系処理装置を構成する各処理装置独自に保持し ている符号化鍵に対応する複号化鍵を保持し、 前記多重系処理装置から受け取つ た各処理結果に対して対応する複号化鍵を用いて複合化する請求の範囲第 8項記 載の多重系処理システム。
PCT/JP1999/003235 1998-06-19 1999-06-17 Processeur multisysteme, controleur connecte a un processeur multisysteme et systeme de traitement multisysteme WO1999065754A1 (fr)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP99925359A EP1104735A4 (en) 1998-06-19 1999-06-17 MULTI-SYSTEM PROCESSOR, CONTROL DEVICE CONNECTED TO A MULTI-SYSTEM PROCESSOR AND MULTI-SYSTEM PROCESSING SYSTEM

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP17250998A JP3346283B2 (ja) 1998-06-19 1998-06-19 多重系処理装置及び多重系処理装置に接続されたコントローラ及び多重系処理システム
JP10/172509 1998-06-19

Publications (1)

Publication Number Publication Date
WO1999065754A1 true WO1999065754A1 (fr) 1999-12-23

Family

ID=15943289

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP1999/003235 WO1999065754A1 (fr) 1998-06-19 1999-06-17 Processeur multisysteme, controleur connecte a un processeur multisysteme et systeme de traitement multisysteme

Country Status (5)

Country Link
EP (1) EP1104735A4 (ja)
JP (1) JP3346283B2 (ja)
KR (1) KR100414031B1 (ja)
CN (1) CN1253765C (ja)
WO (1) WO1999065754A1 (ja)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4716712B2 (ja) * 2004-11-09 2011-07-06 株式会社日立製作所 列車ダイヤ評価装置及び列車ダイヤ評価方法
JP4961247B2 (ja) * 2007-04-04 2012-06-27 株式会社日立製作所 フェールセーフ制御方式
JP2010160712A (ja) * 2009-01-09 2010-07-22 Renesas Technology Corp 半導体データ処理デバイス及びデータ処理システム
JP5574627B2 (ja) * 2009-06-12 2014-08-20 三菱重工業株式会社 冗長化システム
US8799707B2 (en) 2011-06-28 2014-08-05 Mitsubishi Heavy Industries, Ltd. Redundant system
JP5975753B2 (ja) * 2012-06-27 2016-08-23 株式会社日立製作所 情報処理システム、出力制御装置、およびデータ生成装置
US10202134B2 (en) * 2014-03-11 2019-02-12 Mitsubishi Electric Corporation Train information managing apparatus
CN111142367B (zh) * 2018-11-02 2022-01-28 株洲中车时代电气股份有限公司 一种针对铁路安全应用的控制系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS61109102A (ja) * 1984-10-31 1986-05-27 Mitsubishi Electric Corp 多重制御系の制御装置
JPS63108401A (ja) * 1986-10-27 1988-05-13 Mitsubishi Electric Corp ３重系積分信号のリミツタ方法
JPS63188201A (ja) * 1987-01-30 1988-08-03 Meidensha Electric Mfg Co Ltd プログラマブルコントロ−ラの二重化装置
JPH028938A (ja) * 1988-06-28 1990-01-12 Nippon Signal Co Ltd:The 二重系処理装置
JPH0336602A (ja) * 1989-07-03 1991-02-18 Nec Corp 二重化制御方式
JPH04165429A (ja) * 1990-10-29 1992-06-11 Nippon Signal Co Ltd:The 情報処理装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US556805A (en) * 1896-03-24 Metal tube
GB1604154A (en) * 1978-05-30 1981-12-02 Westinghouse Brake & Signal Railway control systems
ZA792482B (en) * 1978-06-10 1980-06-25 Signal Co Ltd Railway control signal dynamic output interlocking systems
GB2022893B (en) * 1978-06-10 1983-01-12 Westinghouse Brake & Signal Fault detection
JPS61150429A (ja) * 1984-12-24 1986-07-09 Mitsubishi Electric Corp デ−タ収集処理装置

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS61109102A (ja) * 1984-10-31 1986-05-27 Mitsubishi Electric Corp 多重制御系の制御装置
JPS63108401A (ja) * 1986-10-27 1988-05-13 Mitsubishi Electric Corp ３重系積分信号のリミツタ方法
JPS63188201A (ja) * 1987-01-30 1988-08-03 Meidensha Electric Mfg Co Ltd プログラマブルコントロ−ラの二重化装置
JPH028938A (ja) * 1988-06-28 1990-01-12 Nippon Signal Co Ltd:The 二重系処理装置
JPH0336602A (ja) * 1989-07-03 1991-02-18 Nec Corp 二重化制御方式
JPH04165429A (ja) * 1990-10-29 1992-06-11 Nippon Signal Co Ltd:The 情報処理装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1104735A4 *

Also Published As

Publication number Publication date
JP2000010940A (ja) 2000-01-14
KR100414031B1 (ko) 2004-01-07
KR20010053028A (ko) 2001-06-25
CN1306482A (zh) 2001-08-01
CN1253765C (zh) 2006-04-26
EP1104735A1 (en) 2001-06-06
EP1104735A4 (en) 2004-10-06
JP3346283B2 (ja) 2002-11-18

Similar Documents

Publication Publication Date Title
US10843716B2 (en) Method and apparatus for an interlocking control device
US5561770A (en) System and method for determining whether to transmit command to control computer by checking status of enable indicator associated with variable identified in the command
CN110361979B (zh) 一种铁路信号领域的安全计算机平台
US5519603A (en) Intelligent process control communication system and method having capability to time align corresponding data sets
KR101966235B1 (ko) 통신 네트워크를 동작시키기 위한 방법 및 네트워크 어레인지먼트
WO1993025948A9 (en) Secure front end communication system and method for process control computers
JP7244549B2 (ja) 列車保安システム
TWI790215B (zh) 用於鐵路環境下重要通信的安全管理的設備和方法
WO2012155837A1 (zh) Ctcs-3级无线闭塞中心设备及系统
WO1999065754A1 (fr) Processeur multisysteme, controleur connecte a un processeur multisysteme et systeme de traitement multisysteme
JP3881197B2 (ja) 車両の自動運転システム
US6487695B1 (en) Method for providing fail-safe secure data transmission between a numerical control system and a spatially separate unit
JP5025402B2 (ja) 高安全制御装置
JPH05233344A (ja) 情報処理装置
JP2005511386A (ja) 安全性の要求される鉄道運転プロセスの制御方法およびこの方法を実施するための装置
CN104714510B (zh) 用于容错故障安全计算机系统的基于任务的表决
JP4555781B2 (ja) 分散型連動システムにおける監視方式
JP3497855B2 (ja) ２重系装置
JPH0628358B2 (ja) 伝送系のアドレス・チェック方法
JP2000312190A (ja) データ伝送方式
Yabushita et al. Autonomous decentralization concept and its application to railway control systems
JP2000209236A (ja) インタ―フェ―ス機器
JPH03222597A (ja) 遠方制御装置
JPH037177B2 (ja)
Endo et al. A safety-related transmission method for a new railway signalling system based on an IP-network

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 99807616.3

Country of ref document: CN

AK Designated states

Kind code of ref document: A1

Designated state(s): CN KR

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE CH CY DE DK ES FI FR GB GR IE IT LU MC NL PT SE

DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 1999925359

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 1020007014446

Country of ref document: KR

WWP Wipo information: published in national office

Ref document number: 1999925359

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 1020007014446

Country of ref document: KR

WWG Wipo information: grant in national office

Ref document number: 1020007014446

Country of ref document: KR

WWW Wipo information: withdrawn in national office

Ref document number: 1999925359

Country of ref document: EP