JP2763854B2 - Railway facility maintenance work management device - Google Patents
Railway facility maintenance work management deviceInfo
- Publication number
- JP2763854B2 JP2763854B2 JP5263689A JP26368993A JP2763854B2 JP 2763854 B2 JP2763854 B2 JP 2763854B2 JP 5263689 A JP5263689 A JP 5263689A JP 26368993 A JP26368993 A JP 26368993A JP 2763854 B2 JP2763854 B2 JP 2763854B2
- Authority
- JP
- Japan
- Prior art keywords
- output
- controller
- input
- interlocking
- signal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Landscapes
- Train Traffic Observation, Control, And Security (AREA)
- Safety Devices In Control Systems (AREA)
Description
【０００１】[0001]
【産業上の利用分野】本発明は鉄道設備の保守作業管理
装置に係り、特に、フェールセーフ性を必要とする機器
の制御に好適な保守作業管理装置に関する。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a maintenance work management apparatus for railway equipment, and more particularly to a maintenance work management apparatus suitable for controlling equipment requiring fail-safety.
【０００２】[0002]
【従来の技術】高いフェールセーフ性を必要とする機器
を制御する場合、従来は、電子情報通信学会誌Vol.７
３，１９９０−１１，ｐｐ．１２０３−１２０８，秋
田，中村「鉄道信号フェールセーフシステム」に記載の
ように、連動コントローラを多重系で構成し、多重系か
ら出力される複数の信号の多数決論理をとることによっ
て、制御情報のフェールセーフ性を確保するようにして
いる。しかしこの構成では、もし連動コントローラから
の出力の多数決をとる回路について高いフェールセーフ
性が保証されていなければ、多数決回路が故障した場合
に多数決回路自身が危険な制御情報を出力してしまうこ
とが考えられる。つまり、システム全体のフェールセー
フ性が失われてしまう。従って、多数決回路は、高いフ
ェールセーフ性の保証された特殊な論理回路で構成され
なければならない。2. Description of the Related Art Conventionally, when controlling a device that requires high fail-safety, the IEICE Journal Vol.
3,1990-11, pp. 1203-1208, Akita, Nakamura As described in "Railway Signal Fail-Safe System", the interlocking controller is constituted by a multiplex system, and a majority decision of a plurality of signals output from the multiplex system is performed, thereby failing the control information. We try to ensure safety. However, in this configuration, if a circuit that takes a majority decision of the output from the interlocking controller does not guarantee high fail-safe performance, the majority decision circuit itself may output dangerous control information if the majority decision circuit fails. Conceivable. That is, the fail-safe property of the entire system is lost. Therefore, the majority circuit must be formed of a special logic circuit that guarantees high fail-safety.
【０００３】多重系を構成する各連動コントローラが、
制御対象である信号機器装置と進路制御装置に異なる２
つのデータ伝送路を介し接続されている場合、信号機器
装置と進路制御装置にそれぞれ接続される２つのポート
から出力されるすべてのデータに対し、高いフェールセ
ーフ性を確保するには、この２つのポートから出力され
るすべてのデータについて、フェールセーフの保証され
た多数決回路を用いて多数決をとる必要がある。高いフ
ェールセーフ性を有する多数決回路は、フェールセーフ
性を確保するためかなり冗長な回路構成になっており、
大規模で低速な回路となる。そのため、連動コントロー
ラに高速情報伝送の入出力ポートが存在する場合、その
すべてのポートに対して高いフェールセーフ性の多数決
回路を接続することが困難となる。[0003] Each linked controller constituting a multiplex system is
Different 2 for signal equipment device and route control device to be controlled
When connected via two data transmission paths, in order to ensure high fail-safe for all data output from the two ports respectively connected to the signaling device and the route control device, the two For all data output from the port, it is necessary to take a majority vote using a fail-safe guaranteed majority circuit. The majority circuit with high fail-safe has a fairly redundant circuit configuration to ensure fail-safe,
A large-scale and low-speed circuit. Therefore, if the interlocking controller has input / output ports for high-speed information transmission, it is difficult to connect a high-fail-safe majority decision circuit to all the ports.
【０００４】[0004]
【発明が解決しようとする課題】多重系の連動コントロ
ーラによって構成される連動装置の各連動コントローラ
が、信号機器と進路制御装置に、２つの異なる入出力ポ
ートを介してそれぞれ接続されているとき、この２つの
ポートから出力されるデータに対してフェールセーフを
保証するには、上述した様に、２つのポートの両方に高
フェールセーフ性を有する多数決回路を付加する必要が
生じる。例えば、この連動装置を用いて鉄道設備の保守
作業管理を行なう場合、作業者は、これから保守作業を
行なうエリアに列車が進入してこないように、線路閉鎖
の要求を入出力装置から入力し、多重系の連動コントロ
ーラによって構成される連動装置に線路閉鎖の要求与え
る。連動装置は、要求された線路閉鎖をとるための制御
出力データを信号機器コントローラに出力し、信号機器
コントローラは信号機器を制御し、列車が作業エリアに
進入してこないように線路閉鎖をとる。連動装置は、信
号機器コントローラから返送されてきたデータに基づい
て、要求した線路閉鎖のための制御が完全に完了したこ
とを確認した後、入出力装置に対し、線路閉鎖が完了し
たという回答情報を出力する。このとき、連動装置から
信号機器コントローラへ出力するデータと、入出力装置
に出力する回答情報については、フェールセーフ性が確
保されなければならない。When each interlocking controller of an interlocking device composed of multiplexed interlocking controllers is connected to a signal device and a route control device via two different input / output ports, respectively, In order to guarantee fail-safe for data output from these two ports, it is necessary to add a high-fail-safe majority decision circuit to both of the two ports as described above. For example, when performing maintenance work management of railway equipment using this interlocking device, the worker inputs a request to close the track from the input / output device so that the train does not enter the area where maintenance work is to be performed, A request for closing a track is given to an interlocking device constituted by a multiplexed interlocking controller. The interlocking device outputs control output data for requesting the closing of the track to the signaling device controller, which controls the signaling device and closes the track so that the train does not enter the work area. Based on the data returned from the signal device controller, the interlocking device confirms that the requested control for closing the track has been completely completed, and then informs the input / output device that the track has been closed. Is output. At this time, fail-safeness must be ensured for data output from the interlocking device to the signaling device controller and answer information output to the input / output device.
【０００５】つまり、多重系の連動コントローラによっ
て構成される連動装置の各連動コントローラから信号機
器コントローラに送る制御出力データと入出力装置に送
る回答情報に対し、フェールセーフを保証するため、進
路制御系と信号機器コントローラに接続する２つのポー
トの両方にフェールセーフ多数決回路を付加する必要が
ある。しかるに、高いフェールセーフ性の多数決回路
は、大規模で低速な回路のため、高速情報処理の必要な
入出力ポートが存在する場合、フェールセーフ多数決回
路を付加することが困難である。That is, in order to guarantee fail-safe for the control output data sent from each interlocking controller of the interlocking device constituted by the multiplexed interlocking controller to the signal device controller and the reply information sent to the input / output device, the route control system is used. It is necessary to add a fail-safe majority circuit to both the two ports connected to the controller and the signal device controller. However, since the majority circuit with high fail-safeness is a large-scale and low-speed circuit, it is difficult to add a fail-safe majority circuit when there are input / output ports that require high-speed information processing.
【０００６】本発明の目的は、各連動コントローラの２
つのポートに夫々高フェールセーフ多数決回路を接続し
なくても、保守作業管理のための高フェールセーフ性を
確保することのできる鉄道設備の保守作業管理装置を提
供することにある。[0006] The object of the present invention is to provide a two-way controller.
It is an object of the present invention to provide a railway equipment maintenance work management device which can ensure high fail safety for maintenance work management without connecting a high fail safe majority circuit to each of the two ports.
【０００７】上記目的は、保守作業データを入出力する
入出力装置と、各々が第１入出力ポート及び第２入出力
ポートを有する多重化された連動コントローラと、各連
動コントローラの前記第１入出力ポートを相互に接続す
るバスと、前記入出力装置から入力された作業要求に基
づく各連動コントローラの制御信号出力を前記各第２入
出力ポートから取り込み多数決して選択した制御信号出
力を信号機器コントローラに出力するフェールセーフ多
数決回路と、前記バスに接続され信号機器コントローラ
から回答される信号機器状態情報を各連動コントローラ
を介して受け取り正常と判断した連動コントローラから
の前記信号機器状態情報を選択して前記入出力装置に出
力する進路制御装置とを備え、前記各連動コントローラ
は、前記バスを介し他の連動コントローラから出力され
る前記制御信号出力を取り込んで多数決し多数決結果を
前記第１入出力ポート及び第２入出力ポートから出力す
る手段と、前記信号機器状態情報のテスト信号を前記第
１入出力ポートから前記バスを介して前記進路制御装置
に出力する手段と、該テスト信号に対する該進路制御装
置からの回答をチェックすると共にチェック結果を前記
フェールセーフ多数決回路に出力して多数決をとらせ該
進路制御装置の前記信号機器状態情報の選択機能に異常
有りと認識したとき前記入出力装置に進路制御装置の異
常発生を出力する手段とを備え、前記フェールセーフ多
数決回路は、前記各連動コントローラの第２出力ポート
から出力される前記多数決結果を取り込んで多数決をと
り異常有りと判断される連動コントローラが存在する場
合には当該連動コントローラからの前記制御信号出力の
選択を止める手段と、各連動コントローラからの前記チ
ェック結果を取り込んで多数決をとり該多数決の結果に
より前記進路制御装置の前記信号機器状態情報の選択機
能に異常が発生したか否かを各連動コントローラに認識
させる手段とを備え、前記進路制御装置は、各連動コン
トローラの第１入出力ポートから出力される前記多数決
結果を取り込んで多数決をとり該多数決の結果により前
記正常と判断する連動コントローラを求め前記入出力装
置に出力する信号機器状態情報を選択する手段と、各連
動コントローラから出力される前記テスト信号の多数決
をとり 正常であると判断した連動コントローラからのテ
スト信号を選択し選択結果を各連動コントローラに回答
する手段を備えることで、達成される。The above object is to input and output maintenance work data.
An input / output device, each having a first input / output port and a second input / output
Multiplexed interlocking controller with ports and
Connecting the first input / output ports of the motion controller to each other.
Bus and a work request input from the input / output device.
The control signal output of each interlocking controller
Control signal output from the output port
Fail-safe outputs force to signal device controller
Numerical circuit and signal device controller connected to the bus
The signal device status information returned from the
Received from the interlocking controller that is determined to be normal
Of the signal device status information of
Each of the interlocking controllers, comprising:
Is output from another interlock controller via the bus.
The majority of the control signal output
Output from the first input / output port and the second input / output port.
Means for transmitting the test signal of the signal device status information to the second
The route control device from one input / output port via the bus
And a route control device for the test signal.
And check the answer from the
Output to the fail-safe majority circuit to take majority
Abnormality in the signal device status information selection function of the course control device
When it is recognized that there is a route control device
Means for outputting a normal occurrence.
The numeration circuit is a second output port of each of the interlocking controllers.
Take the majority result output from the majority decision
If there is an interlocking controller that is judged to be abnormal
If the control signal output from the interlocking controller is
Means for stopping the selection, and the
The results of the majority decision
A selector for selecting the signal device state information of the route control device.
Each interlock controller recognizes whether an error has occurred in the function
Means for causing each of the interlocking controllers to
The majority decision output from the first input / output port of the controller.
Take the majority result and take the majority
An interlocking controller that determines that the
Means for selecting signal device status information to be output to the
Majority of the test signals output from the motion controller
From the linked controller that is determined to be normal
Select the test signal and reply the selection result to each interlock controller
This is achieved by providing means for performing
【０００８】[0008]
【０００９】[0009]
【作用】多重の連動コントローラによって構成される連
動装置において、多重の連動コントローラから出力され
るデータをフェールセーフでない進路制御装置を用いて
多数決をとっても、出力データのフェールセーフ性が向
上しないのは次の２つの事象がある。In the interlocking device constituted by the multiple interlocking controllers, even if the data output from the multiple interlocking controllers is majority-determined by using a route control device which is not fail-safe, the fail-safety of the output data is not improved. There are two events.
【００１０】（１）連動装置全体が正常に動作している
とき、進路制御装置で異常が発生し、連動コントローラ
の１つから誤ったデータが出力されても、誤ったデータ
をそのまま出力するかもしれない状態になったとする。
この進路制御装置の故障が修復されないまま、長い期間
運転を続けているうちに、連動コントローラの１つで異
常が発生し誤った回答情報が出力される。進路制御装置
は故障が修復されないまま動作しているため、誤った回
答情報を出力することになり、その誤った回答情報を見
て作業を開始することになり、危険な状況が発生するこ
とになる。(1) When the entire interlocking device operates normally, even if an error occurs in the route control device and erroneous data is output from one of the interlocking controllers, the erroneous data may be output as it is. Suppose that it is impossible to do so.
During operation for a long period of time without repairing the failure of the route control device, an abnormality occurs in one of the interlocking controllers and erroneous answer information is output. Since the route control device operates without repairing the fault, it will output incorrect answer information, and will start work after seeing the incorrect answer information, resulting in a dangerous situation. Become.
【００１１】（２）連動装置全体が正常に動作している
とき、コントローラの１つで異常が発生し、誤ったデー
タが出力するかもしれない状態になったとする。このコ
ントローラの故障が修復されないまま、長い期間運転を
続けているうちに、進路制御装置で異常が発生し、異常
の発生しているコントローラからの誤ったデータが出力
される。(2) It is assumed that, when the entire interlocking device is operating normally, an abnormality occurs in one of the controllers and a state may occur in which erroneous data may be output. During operation for a long period of time without repairing the failure of the controller, an abnormality occurs in the route control device, and erroneous data is output from the controller in which the abnormality has occurred.
【００１２】上記の（１）の場合については、進路制御
装置で異常が発生すると、連動コントローラの１つで異
常が発生する前に、各連動コントローラがテストデータ
を異常の発生したフェールセーフでない装置に送り、そ
の結果をフェールセーフ多数決回路を用いて診断し、異
常な多数決回路を停止させることによって、誤ったデー
タの出力を防ぐことができる。進路制御装置の診断をフ
ェールセーフな多数決回路によって実行させるため、全
体としてフェールセーフな多数決回路が実現できる。In the case of the above (1), when an abnormality occurs in the route control device, each of the interlocking controllers outputs the test data before the occurrence of the abnormality in one of the interlocking controllers. Then, the result is diagnosed using a fail-safe majority circuit, and the abnormal majority circuit is stopped, thereby preventing erroneous data output. Since the diagnosis of the course control device is executed by the fail-safe majority circuit, a fail-safe majority circuit can be realized as a whole.
【００１３】上記（２）の場合については、連動コント
ローラの１つで異常が発生すると、進路制御装置で異常
が発生する前に、フェールセーフな多数決回路が異常の
発生した連動コントローラを同定し停止させることによ
って、誤ったデータの出力を防ぐことができる。各連動
コントローラの診断及び停止をフェールセーフの多数決
回路によって実行させるため、全体としてフェールセー
フな連動処理が実現できる。In the case of the above (2), if an abnormality occurs in one of the interlocking controllers, a fail-safe majority decision circuit identifies and stops the interlocking controller in which the abnormality has occurred before an abnormality occurs in the route control device. By doing so, output of erroneous data can be prevented. Since the diagnosis and stop of each interlocking controller are executed by the fail-safe majority circuit, fail-safe interlocking processing can be realized as a whole.
【００１４】[0014]
【実施例】以下、本発明の一実施例を図面を参照して説
明する。図１は本発明の一実施例に係る保守作業管理装
置の構成図である。本実施例の保守作業管理装置は、３
重系構成のコントローラ１ａ，１ｂ，１ｃと、入出力装
置２と、高フェールセーフ性を有する多数決回路３と、
進路制御装置４と、図示しない信号機器を直接制御する
信号機器コントローラ５と、データ交換バス６とで構成
される。進路制御装置４は、パーソナルコンピュータ等
の汎用電子装置で構成され、フェールセーフ性を有して
いない。An embodiment of the present invention will be described below with reference to the drawings. FIG. 1 is a configuration diagram of a maintenance work management apparatus according to an embodiment of the present invention. The maintenance work management device of the present embodiment
A controller 1a, 1b, 1c having a multi-system configuration, an input / output device 2, a majority decision circuit 3 having a high fail-safe property,
It comprises a route control device 4, a signal device controller 5 for directly controlling a signal device (not shown), and a data exchange bus 6. The course control device 4 is configured by a general-purpose electronic device such as a personal computer, and does not have fail-safe characteristics.
【００１５】３つの連動コントローラ１ａ〜１ｃからフ
ェールセーフ多数決回路３に出力されるデータは、フェ
ールセーフ多数決回路３によって多数決がとられ、その
結果が出力される。このフェールセーフ多数決回路３か
ら出力されるデータは、信号機器コントローラ５に送ら
れる。また、連動コントローラ１ａ〜１ｃからデータ交
換バス６を介して進路制御装置４に出力されるデータ
は、進路制御装置４において多数決がとられ、正常に動
作している連動コントローラの出力データが選択され
る。Data output from the three interlock controllers 1a to 1c to the fail-safe majority circuit 3 is subjected to majority by the fail-safe majority circuit 3, and the result is output. The data output from the fail-safe majority decision circuit 3 is sent to the signaling device controller 5. Data output from the interlocking controllers 1a to 1c to the route control device 4 via the data exchange bus 6 is determined by the route control device 4, and the output data of the normally operating interlocking controller is selected. You.
【００１６】フェールセーフ多数決回路３が連動コント
ローラのいずれかに異常が発生したことを検出すると、
異常の発生した連動コントローラの出力を絶対に選択し
ないようにすることができる。つまり、その安全性は保
証される。これに対し、進路制御装置４はフェールセー
フでない汎用電子装置であるため、進路制御装置４から
出力されるデータの安全性はこのままでは保証されな
い。そこで、本実施例では、３重系の各連動コントロー
ラがお互いの系で出力データの誤りをチェックし、他の
２系とデータ交換バス６を介してデータを交換し、フェ
ールセーフを図るようにしている。以下その方法を詳述
する。When the fail-safe majority circuit 3 detects that one of the linked controllers has failed,
It is possible to never select the output of the linked controller in which the abnormality has occurred. That is, its safety is guaranteed. On the other hand, since the route control device 4 is a general-purpose electronic device that is not fail-safe, the security of data output from the route control device 4 cannot be guaranteed as it is. Therefore, in this embodiment, each of the triple-system interlocking controllers checks each other for errors in output data, exchanges data with the other two systems via the data exchange bus 6, and achieves fail-safe operation. ing. Hereinafter, the method will be described in detail.
【００１７】保守作業を実施するとき、まず入出力装置
２から保守作業のための制御要求データを入力する。図
２は、鉄道施設の路線図の一例を示すものである。この
図において、破線で囲んだ領域Ａについて保守作業をす
るものとする。このとき、保守作業者はこの領域Ａに列
車が進入してこないように、この領域Ａの鎖錠をとるこ
とが必要となる。そのため、この領域Ａの保守作業を実
施するときは、鎖錠をとるべき領域Ａの軌道回路名称を
入出力装置から入力する。この場合、作業をする領域Ａ
は、軌道回路列として２１Ｔ，１ＲＡＴ，５２ロＴ，５
２イＴとなり、この情報が連動装置に伝送される。When performing maintenance work, first, control request data for maintenance work is input from the input / output device 2. FIG. 2 shows an example of a route map of a railway facility. In this figure, it is assumed that maintenance work is performed on an area A surrounded by a broken line. At this time, the maintenance worker needs to lock the area A so that the train does not enter the area A. Therefore, when performing the maintenance work of the area A, the track circuit name of the area A to be locked is input from the input / output device. In this case, the work area A
Are 21T, 1RAT, 52bT, 5
It becomes 2aT, and this information is transmitted to the interlocking device.
【００１８】３重化された連動コントローラ１ａ〜１ｃ
は、系間で相互にデータを交換することによって、どの
連動コントローラで異常が発生しているか、すなわち各
連動コントローラの運転状態を認識する。例えば図３に
示すように、１系と２系の連動コントローラが、領域Ａ
（２１Ｔ，１ＲＡＴ，５２ロＴ，５２イＴ）を鎖錠する
制御出力信号を出力しようとし、このとき３系の連動コ
ントローラが誤って領域Ａ´を鎖錠する制御出力信号を
出力しようとしたとする。この時、それぞれ３つの連動
コントローラは出力しようとする出力信号を他系と交換
する。[0018] Tripled interlocking controllers 1a to 1c
Recognizes which interlocking controller has an abnormality, that is, the operating state of each interlocking controller, by exchanging data between systems. For example, as shown in FIG.
(21T, 1RAT, 52B, 52T) to output a control output signal that locks the area A 'by mistake. And At this time, each of the three linked controllers exchanges an output signal to be output with another system.
【００１９】すなわち、１系の連動コントローラ１ａ
は、２系の連動コントローラ１ｂから領域Ａを鎖錠する
制御信号を、３系の連動コントローラ１ｃからは領域Ａ
´を鎖錠する制御出力信号を受け取る。そして、１系の
連動コントローラ１ａは自分が出力しようとする信号と
他の２つの連動コントローラ１ｂ，１ｃから送られてき
た信号とを比較し、その多数決をとる。この結果、図３
に示すように、１系の連動コントローラ１ａは、３系の
連動コントローラ１ｃの出力が誤っていると判断する。That is, the 1-system interlocking controller 1a
Is a control signal for locking the area A from the interlocking controller 1b of the second system, and a control signal for locking the area A from the interlocking controller 1c of the third system.
And receives a control output signal for locking '. Then, the 1-system interlock controller 1a compares the signal to be output by itself with the signals sent from the other two interlock controllers 1b and 1c, and takes the majority decision. As a result, FIG.
As shown in (1), the system 1 linked controller 1a determines that the output of the system 3 linked controller 1c is incorrect.
【００２０】２系の連動コントローラ１ｂでは、１系の
連動コントローラ１ａから領域Ａを鎖錠する制御出力信
号を受け取り、３系の連動コントローラ１ｃからは領域
Ａ´を鎖錠する制御出力信号を受け取る。２系の連動コ
ントローラ１ｂは、自分が出力しようとする信号と他の
２つの連動コントローラ１ａ，１ｃから送られてきた信
号とを比較し、その多数決をとる。この結果、２系の連
動コントローラ１ｂは、１系のコントローラ１ａと同様
に、３系の連動コントローラ１ｃの出力が誤っていると
判断する。The second interlock controller 1b receives a control output signal for locking the area A from the first interlock controller 1a, and receives a control output signal for locking the area A 'from the third interlock controller 1c. . The two-system interlocking controller 1b compares a signal to be output by itself with a signal sent from the other two interlocking controllers 1a and 1c, and takes a majority decision. As a result, the second system interlock controller 1b determines that the output of the third system interlock controller 1c is incorrect, as in the case of the first system controller 1a.
【００２１】３系の連動コントローラ１ｃでは、１系の
連動コントローラ１ａから領域Ａを鎖錠する制御出力信
号を受け取り、２系の連動コントローラ１ｂから領域Ａ
を鎖錠する制御出力信号を受け取る。３系の連動コント
ローラ１ｃは、自分が出力しようとする信号と他の２つ
の連動コントローラ１ａ，１ｂから送られてきた信号と
を比較し、その多数決をとる。しかし、この場合、３系
の連動コントローラ１ｃには故障が発生しているため、
どのような判断をするかわからない。すなわち、３系の
連動コントローラ１ｃの出力が誤っていると判断するか
もしれないし、１系あるいは２系の連動コントローラ１
ａ，１ｂが誤っていると判断するかもしれないし、また
異常が発生していないと判断するかもしれない。The third system interlock controller 1c receives a control output signal for locking the area A from the first system interlock controller 1a, and receives the area A from the second system interlock controller 1b.
To receive a control output signal. The three-system interlocking controller 1c compares a signal to be output by itself with a signal sent from the other two interlocking controllers 1a and 1b, and takes a majority decision. However, in this case, since the failure has occurred in the interlocking controller 1c of the third system,
I do not know what decision to make. That is, it may be determined that the output of the third system interlock controller 1c is incorrect, or the first or second system interlock controller 1c may be determined to be incorrect.
It may be determined that a and 1b are incorrect or that no abnormality has occurred.
【００２２】連動コントローラ１ａ〜１ｃの運転状態の
情報は、進路制御装置４と、フェールセーフ多数決回路
３の両方に送られる。すなわち、図４に示すように、１
系と２系の連動コントローラ１ａ，１ｂからは、３系の
連動コントローラ１ｃの出力が誤っているという情報が
フェールセーフ多数決回路３に送られる。Information on the operating states of the interlocking controllers 1a to 1c is sent to both the route control device 4 and the fail-safe majority decision circuit 3. That is, as shown in FIG.
Information indicating that the output of the third-system interlock controller 1c is incorrect is sent to the fail-safe majority decision circuit 3 from the inter-system controllers 1a and 1b of the system and the second system.
【００２３】フェールセーフ多数決回路３は、各連動コ
ントローラ１ａ〜１ｃから送られてきた連動コントロー
ラの運転状態の多数決をとることによって、どの連動コ
ントローラからの出力を正しいものとして選択するかを
決定する。この例では、３系の連動コントローラがどの
ような運転状態の情報を出力したとしても、多数決回路
３は、３系の連動コントローラ１ｃで異常が発生したと
認識することができる。フェールセーフ多数決回路３
は、３系の連動コントローラ１ｃで異常が発生したこと
を、フェールセーフに同定することができる。そして、
異常の発生したコントローラの出力データを絶対選択し
ないようにすることにより、正しいデータ（領域Ａを鎖
錠する制御出力信号）を選択出力することができる。こ
こで選択した制御出力データは、データの妥当性をチェ
ックするための冗長符号（ＣＲＣ符号等）を付加して信
号機器コントローラ５に送る。The fail-safe majority decision circuit 3 determines which of the interlock controllers to select as the correct output by taking the majority of the operation states of the interlock controllers sent from the interlock controllers 1a to 1c. In this example, the majority decision circuit 3 can recognize that an abnormality has occurred in the third system interlock controller 1c, regardless of what operation state information the third system interlock controller outputs. Fail-safe majority circuit 3
Can fail-safely identify that an abnormality has occurred in the three-system interlocking controller 1c. And
By not selecting the output data of the controller in which the abnormality has occurred, correct data (a control output signal for locking the area A) can be selectively output. The control output data selected here is added to a redundant code (CRC code or the like) for checking the validity of the data and sent to the signal device controller 5.
【００２４】信号機器コントローラ５は、フェールセー
フコントローラであり、まず連動装置から送られたデー
タについて冗長符号を用いてその妥当性チェックを行な
う。もしデータに誤りがあるときは、連動装置に対し再
送要求する。データに誤りがないときは、連動装置から
送られてきた制御出力データに従って、信号機器を制御
し、領域Ａに列車が進入してこないように信号機器を鎖
錠する。信号機器コントローラ５は、周期的に信号機器
の状態情報を連動装置に送る。連動装置は、信号機器コ
ントローラ５から送られてきた情報を参照し、信号機器
が要求通り領域Ａの鎖錠を行なったかどうかをチェック
する。ここで要求通り領域Ａの鎖錠が行なわれているこ
とが確認できた時は、“線路閉鎖設定完−領域Ａ（２１
Ｔ，１ＲＡＴ，５２ロＴ，５２イＴ）”という回答情報
を文字コードで、進路制御装置４を経由して入出力装置
２に伝送する。The signal device controller 5 is a fail-safe controller, and first checks the validity of data sent from the interlocking device using a redundant code. If there is an error in the data, a retransmission request is made to the interlocking device. If there is no error in the data, the signaling device is controlled according to the control output data sent from the interlocking device, and the signaling device is locked so that the train does not enter the area A. The signaling device controller 5 periodically sends status information of the signaling device to the interlocking device. The interlocking device refers to the information sent from the signaling device controller 5 and checks whether the signaling device has locked the area A as requested. Here, when it is confirmed that the area A is locked as requested, the "track closing setting complete-area A (21
(T, 1RAT, 52B, 52B) is transmitted to the input / output device 2 via the route control device 4 in the form of a character code.
【００２５】尚、このとき、３台の連動コントローラ１
ａ〜１ｃは、それぞれの回答情報を進路制御装置４に伝
送する。進路制御装置４は、３台の連動コントローラ１
ａ〜１ｃから送られてきた回答情報の中から、連動コン
トローラから送られてきた連動コントローラの運転状態
の情報の多数決をとることにより、正常に動作している
と考えられる連動コントローラからの回答情報を１つだ
け選択して、入出力装置２に伝送する。At this time, the three linked controllers 1
a to 1c transmit the respective pieces of answer information to the route control device 4. The course control device 4 includes three interlocking controllers 1
From the response information sent from a to 1c, the majority of the information on the operating state of the interlocked controller sent from the interlocked controller is taken, so that the answer information from the interlocked controller considered to be operating normally is obtained. Is selected and transmitted to the input / output device 2.
【００２６】進路制御装置４によるこの回答データの選
択機能は、高い安全性が要求される。そのため、各連動
コントローラ１ａ〜１ｃは、時々、進路制御装置４の回
答データの選択機能が正常に動作しているかどうかを診
断するため、進路制御装置４に対して、テスト信号とし
てわざと誤った連動装置の状態情報を出力する。例え
ば、図５に示すように、１系の連動コントローラ１ａは
進路制御装置４に対して“３系の連動コントローラで異
常が発生している”というテストデータを送る。２系の
連動コントローラ１ｂは進路制御装置４に対して１系の
コントローラ１ａと同様に“３系の連動コントローラで
異常が発生している”というテストデータを送る。３系
の連動コントローラ１ｃは進路制御装置４に対して、わ
ざと１系及び２系のコントローラから出力されるテスト
データと異なる“１系の連動コントローラで異常が発生
している”というデータを送る。また、１系の連動コン
トローラ１ａは進路制御装置４に対し、回答データのテ
ストデータとしてＸ１というテストデータを送り、２系
の連動コントローラ１ｂは進路制御装置４に対し、Ｙ２
というテストデータを送り、３系の連動コントローラ１
ｃは進路制御装置４に対し、Ｚ３というテストデータを
送る。ここで、Ｘ１，Ｙ２及びＺ３というテストデータ
はすべて互いに異なるものである。The answer data selection function by the route control device 4 requires high security. Therefore, each of the interlocking controllers 1a to 1c sometimes deliberately outputs an incorrect interlock as a test signal to the path control device 4 in order to diagnose whether the answer data selection function of the path control device 4 is operating normally. Outputs device status information. For example, as shown in FIG. 5, the 1-system interlock controller 1a sends test data to the route control device 4 that "an abnormality has occurred in the 3-system interlock controller". The second system interlocking controller 1b sends test data to the course controller 4 that "an abnormality has occurred in the third system interlocking controller" as in the case of the first system controller 1a. The third system interlocking controller 1c intentionally sends to the route control device 4 data indicating that an error has occurred in the first system interlocking controller, which is different from the test data output from the first and second system controllers. Further, the first-system interlock controller 1a sends test data X1 to the route control device 4 as test data of answer data, and the second-system interlock controller 1b sends Y2
And send the test data of
c sends test data Z3 to the route control device 4. Here, the test data X1, Y2 and Z3 are all different from each other.
【００２７】進路制御装置４は、各連動コントローラ１
ａ〜１ｃから上記テストデータＸ１，Ｙ２，Ｚ３を受け
取ると、３台の連動コントローラから送られてきた連動
装置の状態情報の多数決をとることにより、連動装置の
状態を決定する。ここでは、進路制御装置４は、“３系
の連動コントローラで異常が発生している”と連動装置
の状態を認識する。次に、進路制御装置４は、ここで認
識した連動装置の状態情報に基づき、テストデータの中
から１つを選択して、その結果を各連動コントローラに
返送する。ここで、進路制御装置４が正常に動作してい
るときは、１系あるいは２系から送られてきた回答デー
タのテストデータ（Ｘ１かあるいはＹ２）を、各連動コ
ントローラに返送する。各連動コントローラは、進路制
御装置４から返送されてきたテストデータをチェック
し、更にその結果をフェールセーフ多数決回路３で多数
決をとらせることにより、進路制御装置４の中で本当に
正しく多数決が実行されたかどうかを診断する。このと
き、誤った回答データのテストデータが連動装置に返送
されてきたとき、各連動コントローラは、進路制御装置
４で異常が発生したことを入出力装置に出力し、回答デ
ータの出力データを出力しなくすることにより、システ
ムとしてのフェールセーフ性を向上させることができ
る。The course control device 4 includes each of the interlocking controllers 1
When the test data X1, Y2, and Z3 are received from a to 1c, the state of the interlocking device is determined by taking the majority decision of the interlocking device status information sent from the three interlocking controllers. Here, the course control device 4 recognizes the state of the interlocking device as “an abnormality has occurred in the interlocking controller of the 3 system”. Next, the course control device 4 selects one of the test data based on the status information of the interlocking device recognized here, and returns the result to each interlocking controller. Here, when the course control device 4 is operating normally, the test data (X1 or Y2) of the answer data sent from the system 1 or 2 is returned to each interlocking controller. Each interlock controller checks the test data returned from the route control device 4.
Then, the result is multiplied by the fail-safe majority decision circuit 3.
The Rukoto take the decisions to diagnose whether really correctly majority were executed in the route control unit 4. At this time, when test data of incorrect answer data is returned to the interlocking device, each interlocking controller outputs to the input / output device that an abnormality has occurred in the course control device 4, and outputs output data of the answer data. By eliminating this, the fail-safe property of the system can be improved.
【００２８】[0028]
【発明の効果】本発明によれば、進路制御装置の異常の
発生を、フェールセーフ装置である連動装置を用いて診
断し、もし異常が認められたときは、異常の発生した系
をフェールセーフ多数決回路が直接停止させることによ
り、連動装置そのものが持つ高いフェールセーフ性で、
本保守作業管理装置全体のフェールセーフ性を確保する
ことができるようになる。According to the present invention, the occurrence of an abnormality in a route control device is diagnosed using an interlocking device that is a fail-safe device, and if an abnormality is detected, the system in which the abnormality has occurred is fail-safe. By directly stopping the majority circuit, the high fail-safeness of the interlocking device itself
The fail-safe property of the entire maintenance work management device can be ensured.
【図１】本発明の一実施例に係る保守作業管理装置の構
成図である。FIG. 1 is a configuration diagram of a maintenance work management apparatus according to an embodiment of the present invention.
【図２】鉄道施設の路線図の一例を示す図である。FIG. 2 is a diagram illustrating an example of a route map of a railway facility.
【図３】連動コントローラ間で行うデータ交換の説明図
である。FIG. 3 is an explanatory diagram of data exchange performed between linked controllers.
【図４】連動コントローラの異常有無の診断方法を説明
する図である。FIG. 4 is a diagram illustrating a method of diagnosing the presence or absence of an abnormality in the interlocking controller.
【図５】進路制御装置の異常有無の診断方法を説明する
図である。FIG. 5 is a diagram illustrating a method of diagnosing the presence or absence of an abnormality in a route control device.
１ａ，１ｂ，１ｃ…連動コントローラ、２…入出力装
置、３…フェールセーフ多数決回路、４…進路制御装
置、５…信号機コントローラ。1a, 1b, 1c: linked controller, 2: input / output device, 3: fail-safe majority decision circuit, 4: course control device, 5: signal controller.
───────────────────────────────────────────────────── フロントページの続き (72)発明者 解良 和郎 茨城県日立市大みか町五丁目２番１号 株式会社 日立製作所 大みか工場内 (72)発明者 小林 延久 茨城県勝田市市毛1070番地 株式会社 日立製作所水戸工場内 (72)発明者 佐藤 友良 東京都千代田区神田駿河台四丁目６番地 株式会社 日立製作所内 (72)発明者 北原 文夫 東京都千代田区丸の内一丁目６番５号 東日本旅客鉄道株式会社内 (72)発明者 五十嵐 得郎 東京都千代田区丸の内一丁目６番５号 東日本旅客鉄道株式会社内 (72)発明者 岩本 孝雄 東京都千代田区丸の内一丁目６番５号 東日本旅客鉄道株式会社内 (56)参考文献 特開 平２−156301（ＪＰ，Ａ) 特開 平２−93701（ＪＰ，Ａ) 特開 昭61−36803（ＪＰ，Ａ) 特開 昭64−88169（ＪＰ，Ａ) 特開 昭64−70802（ＪＰ，Ａ) (58)調査した分野(Int.Cl.6，ＤＢ名) B61L 19/00 - 19/16 G05B 9/00 - 9/05──────────────────────────────────────────────────続 き Continuing on the front page (72) Inventor Kazuo Solara 5-2-1, Omika-cho, Hitachi City, Ibaraki Prefecture Inside the Hitachi, Ltd. Omika Plant (72) Inventor Nobuhisa Kobayashi 1070 Ichimo, Katsuta-shi, Ibaraki Co., Ltd. Hitachi, Ltd. Mito Plant (72) Inventor Tomoyoshi Sato 4-6-1 Kanda Surugadai, Chiyoda-ku, Tokyo Hitachi, Ltd. (72) Inventor Fumio Kitahara 1-6-5, Marunouchi, Chiyoda-ku, Tokyo East Japan Railway Company (72) Inventor Toshiro Igarashi 1-6-5 Marunouchi, Chiyoda-ku, Tokyo Inside the East Japan Railway Company (72) Inventor Takao Iwamoto 1-6-5 Marunouchi, Chiyoda-ku, Tokyo Inside the East Japan Railway Company (56) References JP-A-2-156301 (JP, A) JP-A-2-93701 (JP, A) JP-A-6 1-36803 (JP, A) JP-A-64-88169 (JP, A) JP-A-64-70802 (JP, A) (58) Fields investigated (Int. Cl. 6 , DB name) B61L 19/00 -19/16 G05B 9/00-9/05
Claims (1)
と、各々が第１入出力ポート及び第２入出力ポートを有
する多重化された連動コントローラと、各連動コントロ
ーラの前記第１入出力ポートを相互に接続するバスと、
前記入出力装置から入力された作業要求に基づく各連動
コントローラの制御信号出力を前記各第２入出力ポート
から取り込み多数決して選択した制御信号出力を信号機
器コントローラに出力するフェールセーフ多数決回路
と、前記バスに接続され信号機器コントローラから回答
される信号機器状態情報を各連動コントローラを介して
受け取り正常と判断した連動コントローラからの前記信
号機器状態情報を選択して前記入出力装置に出力する進
路制御装置とを備え、 前記各連動コントローラは、前記バスを介し他の連動コ
ントローラから出力される前記制御信号出力を取り込ん
で多数決し多数決結果を前記第１入出力ポート及び第２
入出力ポートから出力する手段と、前記信号機器状態情
報のテスト信号を前記第１入出力ポートから前記バスを
介して前記進路制御装置に出力する手段と、該テスト信
号に対する該進路制御装置からの回答をチェックすると
共にチェック結果を前記フェールセーフ多数決回路に出
力して多数決をとらせ該進路制御装置の前記信号機器状
態情報の選択機能に異常有りと認識したとき前記入出力
装置に進路制御装置の異常発生を出力する手段とを備
え、 前記フェールセーフ多数決回路は、前記各連動コントロ
ーラの第２出力ポートから出力される前記多数決結果を
取り込んで多数決をとり異常有りと判断される連動コン
トローラが存在する場合には当該連動コントローラから
の前記制御信号出力の選択を止める手段と、各連動コン
トローラからの前記チェック結果を取り込んで多数決を
とり該多数決の結果により前記進路制御装置の前記信号
機器状態情報の選択機能に異常が発生したか否かを各連
動コントローラに認識させる手段とを備え、 前記進路制御装置は、各連動コントローラの第１入出力
ポートから出力される前記多数決結果を取り込んで多数
決をとり該多数決の結果により前記正常と判断する連動
コントローラを求め前記入出力装置に出力する信号機器
状態情報を選択する手段と、各連動コントローラから出
力される前記テスト信号の多数決をとり 正常であると判
断した連動コントローラからのテスト信号を選択し選択
結果を各連動コントローラに回答する手段を備える こと
を特徴とする鉄道設備の保守作業管理装置。An input / output device for inputting / outputting maintenance work data, each having a first input / output port and a second input / output port.
Multiplexed interlocking controllers and
A bus interconnecting the first input / output ports of the
Each interlock based on the work request input from the input / output device
The control signal output of the controller to each of the second input / output ports
From the control signal output never selected
Fail-safe majority circuit to output to the controller
From the signal device controller connected to the bus
Signal device status information transmitted via each interlock controller
The above-mentioned signal from the interlocking controller judged as normal
No. of device status information to output to the input / output device
A link control device, wherein each of the linked controllers is connected to another linked controller via the bus.
Captures the control signal output from the controller
And the majority result is sent to the first input / output port and the second input / output port.
Means for outputting from the input / output port;
A test signal from the first input / output port to the bus.
Means for outputting to said route control device via
Check the answer from the course control device for the signal
The check result is output to the fail-safe majority circuit.
Force to take majority decision
When the status information selection function recognizes that there is an error,
Means for outputting an error occurrence of the route control device to the device.
In addition, the fail-safe majority decision circuit includes
The majority result output from the second output port of the
Interlocked controller that takes in the majority decision and determines that there is an abnormality
If there is a controller,
Means for stopping the selection of the control signal output of
Take the above check result from Troller and make a majority decision
Taking the signal of the course control device according to the result of the majority decision
It is determined whether an error has occurred in the device status information selection function.
Means for recognizing a motion controller, wherein the course control device includes a first input / output
Take the majority decision result output from the port
Interlocking to take a decision and judge the above as normal based on the result of the majority decision
Signal device for seeking a controller and outputting to the input / output device
Means for selecting status information and output from each interlock controller
Determine to be normal to take a majority of the test signal to be force
Select and select the test signal from the interlocked controller
A maintenance work management device for railway equipment, comprising means for replying a result to each interlocking controller .
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP5263689A JP2763854B2 (en) | 1993-10-21 | 1993-10-21 | Railway facility maintenance work management device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP5263689A JP2763854B2 (en) | 1993-10-21 | 1993-10-21 | Railway facility maintenance work management device |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH07117670A JPH07117670A (en) | 1995-05-09 |
| JP2763854B2 true JP2763854B2 (en) | 1998-06-11 |
Family
ID=17392976
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP5263689A Expired - Lifetime JP2763854B2 (en) | 1993-10-21 | 1993-10-21 | Railway facility maintenance work management device |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2763854B2 (en) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6223104B1 (en) * | 1998-10-21 | 2001-04-24 | Deka Products Limited Partnership | Fault tolerant architecture for a personal vehicle |
| KR100694511B1 (en) * | 2004-12-24 | 2007-03-13 | 한국철도기술연구원 | Device for controlling fault by using majority logic at onboard equipment of train in RCBTC system |
| JP2009040199A (en) * | 2007-08-08 | 2009-02-26 | Mitsubishi Electric Corp | Fault tolerant system for operation management |
| KR101008160B1 (en) * | 2008-10-14 | 2011-01-13 | 대아티아이(주) | A TMS using railroad line worker protected system and operating method thereof |
| JP2016103110A (en) * | 2014-11-27 | 2016-06-02 | 株式会社東芝 | Multiplexing control device |
| KR102299978B1 (en) * | 2021-02-26 | 2021-09-09 | 신우이엔지 주식회사 | Safety output control device of the on-site control panel installed on the side of the track among tunnel alarm devices |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS6136803A (en) * | 1984-07-30 | 1986-02-21 | Toshiba Corp | Process controller |
| JPH0293701A (en) * | 1988-09-30 | 1990-04-04 | Mitsubishi Electric Corp | Multiplexing control device |
| JPH02156301A (en) * | 1988-12-08 | 1990-06-15 | Toshiba Corp | Field apparatus controller for railway |
-
1993
- 1993-10-21 JP JP5263689A patent/JP2763854B2/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JPH07117670A (en) | 1995-05-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CA1228655A (en) | Digital fail operational automatic flight control system utilizing redundant dissimilar data processing | |
| US4270715A (en) | Railway control signal interlocking systems | |
| EP0006310A1 (en) | Railway control signal dynamic output interlocking systems | |
| JP2763854B2 (en) | Railway facility maintenance work management device | |
| CN107248933A (en) | A kind of method of the double main protection of rail traffic signal system | |
| GB2580925A (en) | Train protection system | |
| CN113015666A (en) | Control architecture for a vehicle | |
| CN113682348A (en) | Novel interlocking dual-computer switching method based on communication | |
| US6487695B1 (en) | Method for providing fail-safe secure data transmission between a numerical control system and a spatially separate unit | |
| KR100775647B1 (en) | The time delay message displaying method on line station display of centralized traffic control system | |
| EP3758301B1 (en) | An apparatus and a method for providing a redundant communication within a vehicle architecture and a corresponding control architecture | |
| KR100414031B1 (en) | Multiple system processor, controller connected to multiple system processor, and multiple system processing system | |
| JP3458694B2 (en) | Fail-safe system and railway operation management system | |
| JP4102306B2 (en) | Method for controlling railway operation process requiring safety and apparatus for carrying out this method | |
| CN114932930A (en) | Brake unit fault positioning method and system and train | |
| WO2022113345A1 (en) | Control switching device | |
| JP2996501B2 (en) | Equipment control method and device | |
| Akita et al. | Safety and fault-tolerance in computer-controlled railway signalling systems | |
| JP2885800B2 (en) | Dual processing equipment | |
| JPH045300B2 (en) | ||
| CN115276922B (en) | Main and standby state control method suitable for all-electronic system | |
| RU2765395C1 (en) | Method for preventing deactivation of unacceptable quantity of same rail vehicle components | |
| JP4550299B2 (en) | Multiplex transmission system | |
| KR200411113Y1 (en) | Fail-safe Switching Apparatus on the Railroad Signal | |
| Wong | Sensor Data Qualification and Consolidation (SDQC) for Real-Time Operation of Launch Systems |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090327 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090327 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100327 Year of fee payment: 12 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110327 Year of fee payment: 13 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110327 Year of fee payment: 13 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120327 Year of fee payment: 14 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130327 Year of fee payment: 15 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130327 Year of fee payment: 15 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313117 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140327 Year of fee payment: 16 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |