WO2022224897A1 - デジタル出力装置およびデジタル出力の生成方法 - Google Patents

Abstract

フェールセーフＣＰＵでの交番信号生成のためのＣＰＵ処理負荷を軽減するため、従来の構成と安全性を確保しつつ、ソフトウェア処理とは異なる交番信号を生成するデジタル出力装置を提供するために、デジタル出力装置として、２つの演算器と、２つの演算器それぞれの演算結果を照合する照合部と、２つの演算器それぞれの演算結果に基づく出力指示をそれぞれ受ける２つの出力変換部とを備え、照合部は、それぞれの演算結果が一致していれば第１の交番信号を出力し、２つの出力変換部それぞれは、出力指示が交番出力指示であれば第２の交番信号を出力し、出力指示が交番停止指示であれば非交番信号を出力する。

Description

デジタル出力装置およびデジタル出力の生成方法

　本発明は、フェールセーフ技術に関連したデジタル出力装置およびデジタル出力の生成方法に関し、特に、鉄道車両を安全側に制御するための鉄道保安装置等に好適である。

　鉄道保安装置には、常に高い安全性が求められ、保安装置自身や周辺機器に異常や故障が発生した場合においても、鉄道車両を安全側に制御するためのフェールセーフ性が要求される。

　既存のシステムにおいては、同一の演算器（ＣＰＵ）を複数備え、これら演算器の動作を照合部で比較・照合することにより、安全性を担保する構成が採られてきた。これら演算器の演算結果は、演算周期ごとに照合部により比較および照合され、演算結果に不一致が生じた場合、演算器は動作を停止し、システムを安全側に遷移させる。このような機能を持つＣＰＵをフェールセーフＣＰＵと呼び、既存のシステムに用いられてきた。

　また、演算器からの出力としては、フェールセーフ性を持たせるために、周期的に変化する信号である交番信号が用いられる。フェールセーフＣＰＵが備える演算器は、それぞれ交番信号を出力する出力部を有する。この交番信号として、従来、電気的にＨ（ハイ）またはＬ（ロー）の２つの状態を周期的に変化させるデジタル信号が用いられてきた。

　同様に、照合部は、演算器の照合結果が正しい正常な場合には、照合結果として交番信号を出力し、照合結果が不一致である異常な場合には、交番信号が停止し固定信号を出力する。

　以上の二つの演算器から出力される交番信号と照合部から出力される照合結果による交番信号とは、さらにフェールセーフＡＮＤに入力される。フェールセーフＡＮＤは、入力される交番信号の論理積をとり、すべての入力が交番状態である場合にのみ交番信号を出力する。フェールセーフＡＮＤから出力された交番信号は、交流アンプで整流および増幅され、リレーを駆動する。

　以上の構成により、演算器からの出力および照合部からの出力が、すべて交番状態である場合にのみ、リレーが駆動されることで、外部に信号が出力される。演算器の異常、照合結果の不一致または回路自体の異常により、交番信号が周期的な変化を停止した場合、最終段のリレーが解放され、システムの外部出力は安全側となる。これにより、フェールセーフな構成を形成している。

　図４は、既存のシステムの概略構成を示すブロック図である。
　車上保安装置１は、内部に演算器ＡおよびＢ（３および４）と照合部５を有するフェールセーフＣＰＵ２、出力部ＡおよびＢ（１３および１４）、フェールセーフＡＮＤ１０、交流アンプ１１並びにリレー１２を備える。本構成では、演算器ＡおよびＢがそれぞれ交番信号を発生させ、出力部ＡおよびＢそれぞれは、演算器ＡおよびＢそれぞれからの交番信号を基にして、フェールセーフＡＮＤ１０に対して交番信号を出力する。

　なお、図４の構成では、演算器ＡおよびＢからの０／１の書き込み指示を基にして、出力部ＡおよびＢが外部へ交番信号を電圧に変換してフェールセーフＡＮＤ１０に出力するが、演算器自体が電気的な信号で交番信号を出力する場合もある。

　図５は、図４に示す既存のシステムを構成する各構成要素における信号の出力状態をタイミングチャートで示す図である。
　図４に示す構成では、フェールセーフＡＮＤ１０に出力する交番信号の生成を演算器ＡおよびＢが実施している。具体的な手法の一例として、演算器ＡおよびＢは、内部にタイマ（図示せず）を持ち、これに従い一定の周期で外部出力を発生させるためのトリガを生成する（５０１）。トリガが発生した場合、演算器ＡおよびＢは、割込み処理に従い外部出力を生成する処理を実行する（５０５）。この時、演算器ＡおよびＢは、例えば、外部出力部内に実装したレジスタ（図示せず）への０／１の指示を切り替えることで、演算器ＡおよびＢは、交流アンプ１１のチャージに必要な周波数で交番信号を生成する（５０２）。この処理は、タイマ割込みにより動作し、交番信号を出力する場合は、０／１の切り替えを、交番信号を停止する場合はどちらか一方の値を出力部に対して指示する。出力部ＡおよびＢは、演算器ＡおよびＢから入力された０／１の信号を電気的な信号に変換してフェールセーフＡＮＤ１０に出力する（５０３）。一方で、交番信号の出力を停止する場合は、割り込み処理は常時発生し、常に０もしくは１を書き込み続ける（５０４）。

　以上のように、既存のシステムでは、交流アンプ１１に電荷を充電するために交番信号の入力が必要であり、さらに、交番信号の変化周期は、交流アンプ１１の特性に応じた規定の周波数とする必要がある。フェールセーフＡＮＤ１０は、交番信号の状態に応じて出力を出すのみで、周波数を変化させる機能を有さず、また、照合部５からの出力は、演算器ＡおよびＢの動作周波数に依存することから、交流アンプ１１に充電するための規定の周波数を、演算器ＡおよびＢからの出力により生成する必要があった。

　また、既存のシステムでは、演算器ＡおよびＢそれぞれからの交番信号は、ソフトウェアの操作により生成される一定の周波数に従った交番信号とするため、一定間隔での割り込み処理により、出力信号に対してソフトウェアにて０と１とを交互に操作することで交番信号を生成していた。出力変換部ＡおよびＢそれぞれが、この０と１との信号をフェールセーフＡＮＤ１０に必要な電圧に変換することで、電気的な信号に変換される。

　よって、既存のシステムでは、演算器内部でタイマによる割込みを実施し、交流アンプに電荷をチャージするために必要な一定周波数の交番信号を生成するには、タイマによるカウント処理および割り込みを受けた場合の出力生成処理が演算器ＡおよびＢそれぞれに処理負荷として加わることとなる。

　このように既存システムで採用する方式においては、一定周期で割込み信号を生成する処理および割込みに応じた０／１の処理が、演算器の負荷として存在する。ここで、一般的なマイコンでは、パルス出力を生成するチャネルを持つものがあるが、このようなチャネルはカウンタが必要な上、マイコン当たりのパルス出力生成可能なポート数が少ないという制約がある。

　また、特許文献１には、周波数出力を演算器とは別の部所が実施することでＣＰＵの演算の処理負荷を軽減する手法を実現しているが、ＯＳおよびミドルウェアとアプリケーションとの分離によるアプリケーションの生産性向上を目的としているため、処理負荷の軽減には至っていない。

特開２０００－３９９０２号公報

　先に述べた既存のシステムでは、システムの演算規模が小さく、ＣＰＵの演算処理に余裕があり、この処理負荷が問題となることはなかった。
　しかし近年、車上保安装置と地上装置や他装置との通信における情報量が増加し、また、保安装置に求められる機能が複雑化し高機能化してきたことにより、ＣＰＵの処理負荷が増加する傾向にある。その結果、ソフトウェア処理による交番信号の生成が他のＣＰＵ処理を圧迫するという課題が生じている。

　そこで、本発明の目的は、交番信号生成のためのＣＰＵ処理負荷を軽減するため、従来の構成を維持し安全性を確保しつつ、ソフトウェア処理とは異なる交番信号を生成するデジタル出力装置を提供することである。

　上記の課題を解決するために、代表的な本発明に係るデジタル出力装置の一つは、２つの演算器と、２つの演算器それぞれの演算結果を照合する照合部と、２つの演算器それぞれの演算結果に基づく出力指示をそれぞれ受ける２つの出力変換部とを備え、照合部は、それぞれの演算結果が一致していれば第１の交番信号を出力し、２つの出力変換部それぞれは、出力指示が交番出力指示であれば第２の交番信号を出力し、出力指示が交番停止指示であれば非交番信号を出力するものである。

　本発明によれば、演算器からの出力指示を基に一定の周波数で交番出力をする出力変換部を設けることで、既存のシステム構成を変更することなくＣＰＵの処理負荷を軽減することができる。また、出力変換部からの周波数出力を監視するチェック部を設けることで、ＣＰＵが出力変換部の故障を検知すると共にシステムが非安全側の動作となることを防ぎ、従来と同等の安全性を確保することができる。
　上記した以外の課題、構成および効果は、以下の発明を実施するための形態における説明により明らかにされる。

本発明の実施例に係る車上保安装置の概略構成を示すブロック図である。 車上保安装置を構成する各構成要素における信号の出力状態をタイミングチャートで示す図である。 車上保安装置を構成する各構成要素における信号の出力状態として、異常が発生した場合の挙動をタイミングチャートで示す図である。 既存のシステムの概略構成を示すブロック図である。 既存のシステムを構成する各構成要素における信号の出力状態をタイミングチャートで示す図である。 車上保安装置を構成する各構成要素における信号の出力状態に加えて、チェック部の動作状態を、タイミングチャートで示す図である。

　以下、本発明を実施するための形態として、実施例について図を参照しながら詳細に説明する。ここで、図面の記載では、同一部分には同一の符号を付して示している。

　図１は、本発明の実施例に係る車上保安装置の概略構成を示すブロック図である。
　車上保安装置１は、フェールセーフＣＰＵ２を有し、このフェールセーフＣＰＵ２は、２つの演算器３および４とそれぞれの演算器の演算結果を照合する照合部５とを有する。ここで、２つの演算器３および４を、それぞれ演算器Ａおよび演算器Ｂとし、それぞれの演算器ＡおよびＢそれぞれに対応する出力チャネル（図１では図示せず）を、それぞれチャネルＡおよびチャネルＢ、と称する。

　また、車上保安装置１は、安全性に関わる出力を行う構成として、演算器３および４それぞれからの信号を受け、一定周波数の交番信号または非交番信号を出力する出力変換部６および７、出力変換部６および７から出力された交番信号を受信するチェック部８および９を有する。ここで、２つの出力変換部６および７を、それぞれ出力変換部Ａおよび出力変換部Ｂとし、それぞれの出力変換部ＡおよびＢに対応するチェック部８および９を、それぞれチェック部Ａおよびチェック部Ｂ、と称する。

　すなわち、本発明は、演算器Ａ（３）および演算器Ｂ（４）と照合部５とを有するフェールセーフＣＰＵ２と、出力変換部Ａ（６）および出力変換部Ｂ（７）と、チェック部Ａ（８）およびチェック部Ｂ（９）とを備えるデジタル出力装置を特徴とする。

　更に、車上保安装置１は、デジタル出力装置の出力変換部ＡおよびＢからの信号並びに照合部からの信号を論理合成して入力されるすべての信号が交番状態である場合にのみ交番信号を出力するフェールセーフＡＮＤ１０、フェールセーフＡＮＤ１０からの出力を整流および増幅してリレー１２を駆動させる交流アンプ１１および外部に制御信号を出力するリレー１２を有する。

　図２は、車上保安装置を構成する各構成要素における信号の出力状態をタイミングチャートで示す図である。
　演算器Ａおよび演算器Ｂは、それぞれの演算結果（２５１もしくは２５２）に基づき、交番出力指示（２０１）もしくは交番停止指示（２０２）を出力変換部ＡおよびＢに対して出力する。

　出力変換部ＡおよびＢは、演算器ＡおよびＢからの指示値を基に、交番出力指示（２０１）を受けている場合には、交流アンプ１１にてリレー１２のコイルに電荷を蓄えるための必要な周波数を持った交番信号を出力する（２０３）。一方、演算器ＡおよびＢから交番停止指示２０２を受けている場合には、出力変換部ＡおよびＢは交番信号ではなく非交番信号を出力する（２０４）。

　交番信号の停止状態が周期的な信号変化をしていない限り、停止状態下の信号レベルの状態（電気的にＨかＬか）はシステムに影響を与えない。

　また、照合部５は、演算器ＡおよびＢの演算結果を照合し、この２つの演算器ＡおよびＢの動作が同一である場合に、交番信号を出力する（２０５）。この交番信号２０５は、照合部５による照合結果であり、演算器ＡおよびＢにおける演算自体に影響を与えない。

　出力変換部ＡおよびＢからの交番信号出力並びに照合部５からの交番信号出力は、フェールセーフＡＮＤ１０に入力される。このフェールセーフＡＮＤ１０は、具体的にはフリップフロップなどにより構成される回路である。フェールセーフＡＮＤ１０に入力される信号が、互いの信号のクロック源となることで、すべての信号が交番状態であるときのみ、フェールセーフＡＮＤ１０の出力は交番信号となる（２０６）。

　この交番信号は、交流アンプ１１により整流かつ増幅され、フェールセーフＡＮＤ１０が一定の周波数による交番信号を出力する場合にのみ、リレー１２のコイルが加圧状態となる（２０８）。これにより、外部へは、出力変換部ＡおよびＢからの出力並びに照合部５からの出力がすべて交番状態にあるときのみ、出力状態（リレー１２のコイルが加圧され接点が閉じた状態）となる（２１０）。

　演算器ＡおよびＢが交番停止指示を出力した場合、フェールセーフＡＮＤ１０への交番入力が停止し、これによりフェールセーフＡＮＤ１０からの交番信号が停止する（２０７）。これにより、交流アンプ１１からの電荷供給が停止されることでリレー１２のコイルの電荷が釈放され（２０９）、外部に制御信号を出力するリレー１２の接点が開いた状態となる（２１１）。

　ここで、交流アンプ１１に入力される交番信号には、電荷を蓄えるために必要なハードウェア規定の周波数を使用する必要がある。フェールセーフＡＮＤ１０からの交番信号が、一定の周波数である場合にのみ、リレー１２のコイルに電荷が蓄えられる。この一定の周波数は、出力変換部ＡもしくはＢの内部で生成される。

　図３は、図２と同様に車上保安装置を構成する各構成要素における信号の出力状態として、異常が発生した場合の挙動をタイミングチャートで示す図である。
　照合部５が演算器Ａおよび演算器Ｂの演算結果に不一致を検出した場合や、少なくとも２つの演算器ＡおよびＢのいずれかが異常を検知し動作を停止させた場合（３０１）など、フェールセーフＣＰＵ２が異常を検知した際には照合部５からの交番信号が停止する（３０２）。

　これにより、出力変換部ＡおよびＢからの信号が交番状態であっても、照合部５からの交番信号が停止することで、フェールセーフＡＮＤ１０での論理合成により、フェールセーフＡＮＤ１０から出力される交番信号が停止する（２０７）。

　このように、少なくとも２つの演算器ＡおよびＢのいずれかが故障を検知した場合や、ハードウェアや演算器の異常により二つの演算器ＡおよびＢの演算結果が不整合となり、照合部５がこれを検知し交番信号を停止させた場合、または、経路に異常があり少なくとも出力変換部ＡおよびＢのいずれかからの交番信号が停止した場合、フェールセーフＡＮＤ１０からの交番信号が停止し（２０７）、交流アンプ１１からの電荷の供給が途絶えることで（２０９）、リレー１２の接点が解放される（２１１）。
　以上のとおり、本発明の実施例に係る車上保安装置の構成は、異常発生時に対するフェールセーフ性を持つ。

　また、図４に示す既存のシステムの構成と比較して、図１に示す本発明の実施例に係る構成では、演算器ＡおよびＢそれぞれは、交番出力または交番停止のいずれかの状態を出力変換部ＡおよびＢそれぞれに対して指示すればよいことになる。よって、タイマによるカウント処理および出力の生成処理による周波数の生成を出力変換部で実施することにより、演算器での処理負荷が軽減化されることになる。

　次に、出力変換部ＡまたはＢに故障が発生する場合があり、この故障により、意図せぬ交番信号を出力し続けるケースが発生し、フェールセーフＡＮＤ１０も、この意図せぬ交番信号に応じて交番信号を出力し続けることになる。

　正常なケースにおいては、演算器ＡまたはＢからの交番停止指示により、出力変換部ＡまたはＢからの交番信号が停止し、フェールセーフＡＮＤ１０からの交番信号が停止することで、外部出力は安全側になる。

　ところが、演算器ＡまたはＢからの停止指示を受けているにも拘わらず、出力変換部ＡおよびＢが交番信号を出力し続ける場合、システムを安全側に制御できない状態となる。
　このため、図１に示す構成では、演算器ＡおよびＢそれぞれが出力変換部ＡおよびＢそれぞれの状態を監視できるように、出力変換部ＡおよびＢそれぞれの交番信号を受けることでそれぞれの出力状態を監視するチェック部ＡおよびＢを設けている。

　図６は、図２や図３に示す車上保安装置を構成する各構成要素における信号の出力状態に加えて、チェック部ＡおよびＢの動作状態を、タイミングチャートで示す図である。演算器ＡおよびＢ、照合部５、フェールセーフＡＮＤ１０、交流アンプ１１およびリレー１２の動作状態は、図２や図３と同様である。

　チェック部ＡおよびＢそれぞれは、演算器ＡおよびＢそれぞれの出力ラインに設けられ、出力変換部ＡおよびＢそれぞれからの交番信号を受信し、それぞれの交番信号のパルス数をカウントする（６０１）。図６に示す例では、チェック部ＡおよびＢそれぞれは、交番信号のパルスの立ち上がりおよび立下りのエッジをカウントする。演算器ＡおよびＢそれぞれは、一定の時間間隔でチェック部ＡおよびＢそれぞれにアクセスすることで、チェック部ＡおよびＢそれぞれがカウントした交番信号の値を取得する（６０２、６０３、６０６および６０９）。

　演算器ＡおよびＢそれぞれは、チェック部ＡおよびＢそれぞれから取得したカウント値と、前回のアクセス時に取得したカウント値とを比較し、一定のアクセス時間間隔から出力変換部ＡおよびＢそれぞれからの交番信号の出力有無および周波数を検知する。演算器ＡおよびＢそれぞれは、自身に対応する出力変換部ＡおよびＢそれぞれへの出力状態と、チェック部ＡおよびＢそれぞれから得られる交番信号のカウント値とを比較する（６０４、６０５、６０７および６１０）。

　比較の結果、自身の出力とカウント値とが不一致であるケースとして、交番出力指示である状態で交番信号の停止または異常値が検知される場合、もしくは、交番停止指示である状態で交番信号の出力がカウント値として検知される場合、それを検知した演算器ＡまたはＢは、自身に対応する出力変換部ＡまたはＢが異常であると判断する（図６では、６１０）。

　異常を判断した場合、対応する演算器は動作を停止し、出力が非安全側となることを防ぐ。既存の構成（図４に示す構成））と比較すると、交番出力生成の処理が減る代わりに出力状態のチェックの処理が加わることになるが、出力生成の処理と比較してチェックの処理の周期は、カウントをある程度長くすることができるため、演算器の演算実行が圧迫されることはない。

　図６から、上記した異常判断の具体例を説明する。図６では、演算器Ｂから出力停止指示が出されているにも拘わらず、出力変換部Ｂからの出力が停止しない場合を示す。

　演算器Ａにおいて、最初のカウント値チェックにより得られるカウント値は８であり（６０２）、２回目に得られるカウント値は１１である（６０３）。図に示す周期において１回目では一定のカウント値が得られており、２回目では既定のカウント値を下回る値が得られているため、交番出力指示の状態において出力変換部Ａが正常に交番信号を停止していることが分かる。

　一方で、演算器Ｂにおいては、演算器Ｂからの交番停止指示にも拘わらず出力変換部Ｂから交番信号が出力され続ける（６０８）。そうすると、最初のカウント値チェックにより得られるカウント値は８であるが（６０６）、２回目に得られるカウント値は１６となり（６０９）、本来得られないはずのカウント値が規定値で得られることになる。その結果、演算部Ｂは、出力変換部Ｂから交番信号が出力されている状態と判断し、出力変換部Ｂの異常として検知する。

　これにより、演算器Ｂが出力変換部Ｂの異常検知をすることにより、照合部５からの交番信号出力が停止し、出力が非安全側となることを防ぐことができる。

　また、交番出力指示や交番停止指示のタイミングにより交番信号が過渡的な数値として取得される場合があるため、カウント値のチェックは１回のみではなく、一定期間に複数回チェックすることで、異常値が継続する場合を異常検知とするなどの手法を用いてもよい。

　以上のように、演算器ＡおよびＢそれぞれは、チェック部ＡおよびＢそれぞれのカウント値を周期的にチェックすることで出力変換部ＡおよびＢそれぞれからの出力の状態を確認することができる。

　次に、別の異常ケースとして、出力変換部ＡまたはＢからの出力が停止状態でこの出力変換部ＡまたはＢが故障した場合、演算器ＡまたはＢからの交番出力指示がない状態においては、チェック値が常に０となり正常と判断されることになり、故障が潜在化する場合が想定される。

　この場合の異常ケースは、システムとしては安全側の状態であるため、システムのフェールセーフ性に影響はしない。しかし、例えば、ブレーキを解除しようとした場合に初めて異常が顕在化するなど、運用に支障をきたすことが想定され、ブレーキ指令をかけて始めて故障が顕在化するなどの問題が生じる。これに対処するためには、保守作業の際にこのような故障を検知する機構を備えることが望ましい。

　図１に示す車上保安装置の構成においては、電源投入後のシステム初期化時に、演算器ＡおよびＢそれぞれから模擬的に一定間隔の交番信号を出力し、演算器ＡおよびＢそれぞれからの出力の結果、チェック部ＡおよびＢそれぞれのカウント値が０でないことを確認する。これにより、出力変換部ＡおよびＢそれぞれおよびチェック部ＡおよびＢそれぞれの健全性のチェックを実施することができる。

　この時、演算器ＡおよびＢそれぞれによるカウント値の判断基準を、一定の出力間隔に応じたカウント値とすることで出力周波数のチェックを実施してもよい。チェック結果により、例えば、カウント値が０である場合や異常な値を示す場合、演算器ＡまたはＢは故障と判断し、故障を通知することで異常の潜在化を防ぐことができる。

　ただし、上記した動作態様を追加した場合は、模擬的な出力として交番信号が発生するため、一時的な出力がされないような機構部を設けることが望ましい。

　また、出力変換部ＡおよびＢおよびチェック部ＡおよびＢの経路上の異常は、上述した方法にて検知可能であるが、それぞれの演算器ＡおよびＢが得たカウント値や結果を２つの演算器同士が照合し、その照合の結果に差分が生じた場合に、演算器ＡおよびＢが自らの異常を検知する方式を用いてもよい。すなわち、カウント値により算出した結果を相互に照合することで、２つの演算器同士の演算結果の誤りを検出することができる。

　更には、出力変換部ＡおよびＢ並びにチェック部ＡおよびＢは、ロジックＩＣで構成可能であるが、ＦＰＧＡなどのプログラム可能なデバイスで構成してもよい。この構成の場合、単一故障による非安全側動作を避けるために、出力変換部ＡおよびＢそれぞれは、対応する演算器ＡおよびＢそれぞれにつき１つの個別のプログラマブルデバイスで構成することが望ましい。また、チェック部ＡおよびＢそれぞれについても、対応する同一チャネルの出力変換部ＡおよびＢそれぞれとは個別のデバイスで構成することが望ましい。

　以上、本発明の実施例について説明したが、本発明は、上述した実施例に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。

１　車上保安装置、２　フェールセーフＣＰＵ、
３，４　演算器、５　照合部、６，７　出力変換部、
８，９　チェック部、１０　フェールセーフＡＮＤ、
１１　交流アンプ、１２　リレー、１３，１４　出力部
２０１，２０２　演算器から出力変換部への指示
２０３，２０４　演算器から出力変換部への指示に応じた交番信号出力の変化
２０５　照合部からの照合結果の信号
２０６，２０７　フェールセーフＡＮＤからの出力信号
２０８，２０９　フェールセーフＡＮＤからの出力信号の状態に応じた交流アンプの状態変化
２１０，２１１　交流アンプの状態に応じたリレーの状態変化
２５１，２５２　演算器の演算処理
３０１　フェールセーフＣＰＵでの異常検知
３０２　異常検知による照合結果の交番信号の停止
５０１　演算器内部での交番信号生成のための割り込み信号
５０２　演算器から出力部に対する出力指示
５０３　出力部からの出力状態
５０４　出力部からの交番信号停止
５０５　演算器内部での出力信号生成処理
６０１　チェック部で検知する交番信号
６０２，６０３，６０６，６０９　演算器が取得するチェック部のカウント値
６０４，６０５，６０７，６１０　演算器によるカウント値取得および確認
６０８　演算部からの指示と出力変換部からの出力が不一致となる場合
６１１　演算器内部のチェック部における確認処理の起動タイミング

Claims (9)

1. 　２つの演算器と、
   　前記２つの演算器それぞれの演算結果を照合する照合部と、
   　前記２つの演算器それぞれの演算結果に基づく出力指示をそれぞれ受ける２つの出力変換部と
   を備え、
   　前記照合部は、前記２つの演算器それぞれの演算結果が一致していれば第１の交番信号を出力し、
   　前記２つの出力変換部それぞれは、前記出力指示が交番出力指示であれば、第２の交番信号を出力し、前記出力指示が交番停止指示であれば、非交番信号を出力する
   ことを特徴とするデジタル出力装置。
2. 　請求項１に記載のデジタル出力装置であって、
   　前記２つの出力変換部それぞれが出力する前記第２の交番信号をそれぞれカウントする２つのチェック部を備え、
   　前記２つの演算器それぞれは、対応する前記２つのチェック部それぞれからのカウント値を取得し、当該カウント値から、前記交番出力指示の状態で前記２つの出力変換部それぞれが前記第２の交番信号を出力しているか、および、前記交番停止指示の状態で前記２つの出力変換部それぞれが前記非交番信号を出力しているか、を判断する、
   ことを特徴とするデジタル出力装置。
3. 　請求項２に記載のデジタル出力装置であって、
   　前記２つの演算器それぞれは、前記２つのチェック部それぞれから取得する前記カウント値を一定時間に複数回チェックする
   ことを特徴とするデジタル出力装置。
4. 　請求項２または３に記載のデジタル出力装置であって、
   　当該デジタル出力装置の初期化時に、前記２つの演算器それぞれは、模擬的に前記交番出力指示を出力することで前記２つのチェック部それぞれから取得する前記カウント値に基づいて、前記２つの出力変換部および前記２つのチェック部の健全性を確認する
   ことを特徴とするデジタル出力装置。
5. 　請求項２から４のいずれか１項に記載のデジタル出力装置であって、
   　前記２つの演算器それぞれは、対応する前記２つのチェック部それぞれから取得した前記カウント値を相互に照合して自らの異常を検知する
   ことを特徴とするデジタル出力装置。
6. 　請求項２から４のいずれか１項に記載のデジタル出力装置であって、
   　前記２つの出力変換部および前記２つのチェック部をロジックＩＣまたはＦＰＧＡで構成する
   ことを特徴とするデジタル出力装置。
7. 　請求項１から６のいずれか１項に記載のデジタル出力装置であって、
   　外部出力部を更に備え、
   　前記外部出力部は、前記第１の交番信号および２つの前記第２の交番信号の論理積を取って外部出力信号を生成する
   ことを特徴とするデジタル出力装置。
8. 　２つの演算器それぞれの演算結果を照合し、照合結果が一致していれば第１の交番信号を出力する第１のステップと、
   　前記２つの演算器それぞれの演算結果に基づいて、交番出力を指示する場合は、第２の交番信号を出力し、交番停止を指示する場合は、非交番信号を出力する第２のステップと
   を有するデジタル出力の生成方法。
9. 　請求項８に記載のデジタル出力の生成方法であって、
   　前記第２の交番信号をカウントしたカウント値から、前記交番出力の指示状態で前記第２の交番信号が出力されているか、および、前記交番停止の指示状態で前記非交番信号が出力されているか、を判断する第３のステップ
   を更に有するデジタル出力の生成方法。

Images