JP3802895B2 - フエール・セーフ多数決論理回路を備えたパラレル出力型電子連動装置 - Google Patents

Description

本発明は、本発明は、安全な制御を行うために、全く同一のハードウェアを複数準備し、全く同じ演算を実行し、それぞれの出力を入力し、照合を取り、出力が一致しなかった場合には、多数決を行い、最終的な制御出力を決定する多数決論理回路に係り、特に誤出力の発生を防止するために、回路の構成部品の中で１個だけが故障した場合、つまり単一故障の場合には、危険側に出力される可能性が全く無い、フエール・セーフ多数決論理回路を備えたパラレル出力型電子連動装置に関する。

従来、信号機や転てつ器を直接駆動する、または、それらの機器を駆動するリレーを制御する電子連動装置は、連動の論理計算を行い、転てつ器あるいは信号機などを制御するための信号線をパラレルに出力する３組の処理装置と、それらの出力の照合を各ライン毎に行うフェール・セーフ多数決回路とから構成されている。

従来のフェール・セーフ多数決論理回路は、通常、図５に示すように、３個の並列入力のうち２つの示した値を正しいとして出力する回路が採用されている。

図５において、１０１〜１０３は３個の並列入力であって、１１１〜１１３はそれぞれＡＮＤ回路、１２１はＯＲ回路、１３１は出力である。

この場合、例えば、入力１０１、１０２が「１」で、入力１０３が「０」であれば、ＡＮＤ回路１１１、１１３の出力は「０」、ＡＮＤ回路１１２の出力は「１」となり、出力１３１は「１」となる。

しかし、入力１０１のみ「１」で、入力１０２、１０３が「０」であれば、ＡＮＤ回路１１１〜１１３のいずれの出力も「０」となり、出力１３１は「０」となる。

このため、入力１０１〜１０３に同一の論理演算を別々の回路で行わせた結果を入力として加えたとき、そのうちの１個が誤動作しても、出力１３１にはその誤動作の影響は現れないという、信頼性を高める回路となっている。

ここで論理積を記号「・」、論理和を記号「＋」で示し、３個の入力の論理値を１０１〜１０３で示すと、この回路の論理式は、以下の(数１)となる。

１０１・１０２＋１０２・１０３＋１０３・１０１ ……(数１)

しかし、この場合、多数決論理回路自体が損傷したとき、例えば、ＯＲ回路１２１またはＡＮＤ回路１１１が損傷すれば、誤出力を引き起こす。この点を考慮して、従来技術では、図６に示す様な回路によって、フェール・セーフ多数決回路自体が損傷した場合の対策を施している(例えば、特許文献１参照)。

図６において、２０１〜２０３は３個の並列入力であり、「１」、「０」の論理値が入力される。２１１〜２１６はトランジスタであり、２個ずつ並列に接続されたＡＮＤ回路を構成する。２２１〜２２６はダイオードであり、２個を直列接続した回路を並列に接続しＯＲ回路を構成している。２３１〜２３９は抵抗である。

２４１〜２４３は＋の電位を持っている電源端子である。２５１〜２５３は零電位の電源端子である。２６１は本回路の論理出力である。本回路では、例えば、ダイオード２２１が導通故障を起こしても、回路自体の動作には全く影響を与えないことが保証されている。

ところが、本回路構成では、損傷したダイオードを検出する手段がない。そのため、故障が分からずに運転を継続し、２番目の故障が発生して、誤出力を引き起こす可能性がある。
特開昭５２−１１２２５０号公報

本発明では上で述べた従来技術の欠点に鑑み、次の(1)〜(4)のという条件を満たす、フエール・セーフ多数決論理回路を実現することにある。

(1) ３個の論理入力の多数決をとる。

(2) １個の部品が故障した場合には、危険側の錯誤出力を行わない。

(3) 故障が内在した場合にも、必ず故障検出が可能である。

(4) 故障検出結果に基づき、３個の論理入力条件を変更する。

なお、ここで上記の危険側とは、ＯＮ制御側のことを指す。例えば、鉄道では、転てつ器を転換するために、転てつ器転換用モータの制御を行うが、錯誤により転換が行われなかった場合は、そのことにより直接人命などに関係する重大事故に繋がる可能性は少ない。

ところが、錯誤により転換が行われた場合には、転てつ器上を通過中の列車が脱線する可能性もあるから、極めて危険な錯誤と言える。そこで、ここでは装置を動かす側、つまり、ＯＮ制御側の故障を危険側故障としている。

本発明は上記の課題を解決するために次のような手段を採用した。すなわち、連動の論理計算を行ない、信号機あるいは転てつ器を直接駆動するための論理値「１」と論理値「０」をとる信号、またはそれらの機器を駆動するリレーを制御するための論理値「１」と論理値「０」をとる信号の少なくとも一方の信号をパラレルに出力する３組の処理装置と、これら３組の処理装置から出力される３個の論理値のうちの２個ずつを入力とする３個のＯＲ回路及びこれら３個のＯＲ回路の出力を入力とする３入力ＡＮＤ回路により多数決演算を行うフェール・セーフ多数決論理回路を備えたパラレル出力型電子連動装置において、前記３入力ＡＮＤ回路は、単一故障では危険側の出力にならないフェール・セーフ性を有する回路で構成され、前記フェール・セーフ多数決論理回路に制御モードと故障検出モードを設定し、故障検出モード時に、前記３個の論理入力に故障検出用のパターンを与え、出力を観測することにより、フェール・セーフ多数決論理回路を構成している部品の故障を検出するようにした。

このときフェール・セーフ多数決論理回路には制御モードと故障検出モードを設定し、故障検出モード時に、前記３個の論理入力に故障検出用のパターンを与え、出力を観測することにより、フェール・セーフ多数決論理回路を構成している部品の故障検出を可能としている。

また、上記故障検出モード時、部品の短絡故障を検知した場合には、３個ある入力の内の１個を、フェール・セーフ多数決論理回路の出力が危険側に出力することのないように強制的に変更している。

さらに、前記フェール・セーフ多数決論理回路をパラレル出力型電子連動装置に適用することにより、電子連動装置の安全性を高めている。

本発明によれば、フェール・セーフ多数決論理回路の３個の並列入力が一致しなかった場合に、多数決を行い、最終的な制御出力の安全性を高めることができる。

さらに、本発明のフェール・セーフ多数決論理回路は、部品の単一故障が危険側出力を引き起こす可能性は全く無く、内在する単一故障は診断パルスによって確実に検出が可能であり、フェール・セーフ特性を有する多数決論理回路を備えたパラレル出力型電子連動装置を実現することが可能となる。

また、単一故障が発生した場合でも論理入力条件を変更することにより危険側出力を出力することなく、電子連動装置の運転を継続できる。

本発明のフェール・セーフ多数決論理回路の原理は次の論理式に基づく。

フェール・セーフ多数決論理回路の３入力をＡ、Ｂ、Ｃとすると、本回路の論理式は次の(数２)となる。

（Ａ＋Ｂ）・（Ｂ＋Ｃ）・（Ｃ＋Ａ） ……(数２)

本発明では、この論理式を用いることにより、単一故障の場合には、危険側誤出力の可能性は全く無くなり、また３個の入力に適当な入力パターンを与えることにより、確実に故障検出が可能なフエール・セーフ多数決論理回路が実現できる。

本発明の具体的な実施形態を説明する前に、本発明のフェール・セーフ多数決論理回路の基本回路について、図１により説明する。

図１のものは、通常用いられている図５に示すフェール・セーフ多数決論理回路と異なった構成となっている。

図１において、３０１〜３０３は３個の並列論理入力であって、３１１〜３１３はそれぞれＯＲ回路、３２１はＡＮＤ回路、３３１は出力である。表１に、論理入力３０１〜３０３の全ての入力パターンと出力３３１の論理値を示す。表１から分かるように、図１は多数決論理回路を構成している。

本発明は、図１に示す多数決論理回路を、図２に示す具体的な回路で実現したものであり、以下、本発明の実施形態を図２を用いて詳細に説明する。

図２において、４０１〜４０３は３個の並列論理入力であって、４１１〜４１６はダイオード、４２１〜４２３はフォト・モス・リレーを示している。４３１〜４３３は零あるいは負電位の電源端子であり、４４１、４４２は出力端子である。

論理値「１」の時に４４１、４４２間は導通し、論理値「０」の時に４４１、４４２間は非導通となる。ここで、導通側は危険側、非導通側は安全側とする。なお、図示していないが、フォト・モス・リレー４２１〜４２３は、励磁コイルと接点からなるリレーに置換することも可能である。

図２の多数決論理回路において、入力４０１が「１」、入力４０２と４０３が「０」の時にはフォト・モス・リレー４２１と４２２はＯＮとなるが、４２３がＯＦＦとなるため、４４１、４４２間は非導通となる。入力４０１と４０２が「１」、入力４０３が「０」の時にはフォト・モス・リレー４２１〜４２３は全てＯＮするため、４４１、４４２間は導通となる。この場合の入力と出力の関係は表１と全く等しくなる。

次に、本発明の多数決論理回路の構成部品の単一故障について簡単に説明する。まず、この単一故障とは構成部品が唯一個だけ壊れている状態である。複数の部品が同時に故障したように思える現象も、初めに単一故障が発生し、その後２個目、３個目の故障が発生したと考えることができる。

したがって、単一故障を確実に検出し、２個目の故障が発生する前に、単一故障を修理することができるのであれば、故障モードとして単一故障のみを考慮すればよいことになる。

なお、本実施形態で考慮する故障には２種類ある。第１は、本多数決論理回路に論理値を入力する、図示していない３個の処理系の誤動作が考えられる。この処理系が誤動作する場合には、本多数決論理回路に入力される３個の並列入力の論理値が同一でなくなる。

第２は、本多数決論理回路を構成しているダイオードやフォト・モス・リレーの短絡故障、またはオープン故障が考えられる。

したがって、本発明では、単一故障とは、多数決論理回路の全素子は故障していないが、並列入力の論理値が同一でないこと、または、並列入力の論理値は同一であるが、多数決論理回路を構成している素子のどれか１個が短絡故障、あるいはオープン故障を起こしていることと定義できる。

次に、本発明による実施形態では、単一故障の場合には決して危険側出力が出力しないことを説明する。

前述のように、多数決論理回路の全素子は故障していないが、並列入力の論理値が同一でない場合、この場合にも単一故障の考え方を用いると、図示していない３個の処理系のどれか１系が故障した場合を考慮すれば十分である。

すなわち、ただ１系のみが故障し、誤出力を出力するのであるから、多数決を実行すればこの場合、誤出力する可能性はない。

同じく、前述のように、並列入力の論理値は同一であるが、フェール・セーフ多数決論理回路を構成している部品が１個だけ故障した場合、並列入力の論理値が同一であると、１個のダイオードが短絡故障、オープン故障を起こしても、誤出力する可能性はない。

また、１個のフォト・モス・リレーが短絡故障を起こした場合もダイオードの場合と同様であり、誤出力する可能性は無い。

１個のフォト・モス・リレーがオープン故障した場合には、３個のフォト・モス・リレーが直列に接続されているため、論理出力４４１〜４４２はＯＦＦ固定の誤出力を出す。この場合の故障は、安全側故障と考えられる。

次に、図３を用いて、本実施形態における、故障を検出する手法を説明する。

図３は、多数決論理回路の故障検出を考慮した回路である。５０１は故障を検出するための外部機器を駆動する電源である。５１１は制御対象となっている装置であり、例えば転てつ器を転換するモータなどを示している。

５２１は本フェール・セーフ多数決論理回路が出力している論理値を監視する端子であり、図示していない３個の処理系によってモニタされる。ここで、制御対象５１１はある程度大きな時定数を持っており、検出用パルスの信号では、制御対象５１１は動作しないものと仮定する。

故障検出を行うには３個の並列論理入力４０１〜４０３から、検出用パルスの様々な論理値の組み合わせを与え、検出用パルスの論理入力により監視端子５２１がどのような出力を出すかを観測することにより、制御対象５１１を誤動作させずに、故障検出が可能となる。

ダイオード４１１がオープン故障した場合の、並列論理入力４０１〜４０３と監視端子５２１の論理値のパターンを表２に示す。表２の色付けした行が表１と異なっており、このことによりフェール・セーフ多数決論理回路内に故障が発生したことを検知できる。

ダイオード４１１が短絡故障した場合の、並列論理入力４０１〜４０３と監視端子５２１の論理値のパターンを表３に示す。表３の色付けした行が表１と異なっており、このことによりフェール・セーフ多数決論理回路内に故障が発生したことを検知できる。他のダイオードが故障した場合にも全く同様にして故障を検出できる。

フォト・モス・リレー４２１がオープン故障した場合には、先にも述べた通り、出力がＯＦＦ固定となり、容易に故障検出が可能である。

フォト・モス・リレー４２１が短絡故障した場合は、並列論理入力４０１〜４０３と監視端子５２１の論理値パターンを表４に示す。表４の色付けした行が表１と異なっており、このことによりフェール・セーフ多数決論理回路内に故障が発生したことを検知できる。

表２で観測されたようなオープン単一故障が発生した場合には、表２の１行目、８行目の制御モードにおいて使用される部分が、正しく出力され、安全上問題のないことが解かる。また、第２番目の故障が発生しても、錯誤による危険側出力の可能性が全くないことも証明が可能である。

表３、表４で観測されたような短絡単一故障が発生した場合には、いずれの表においても、１行目、８行目の値が安全上問題のないことを示している。

次に、フェール・セーフ多数決論理回路に単一故障が発生している場合でも、危険側出力を出力することなく、フェール・セーフ多数決論理回路の運転を継続できる場合について説明する。

図３に示すフェール・セーフ多数決論理回路において、単一故障、例えば、ダイオード４１１が短絡故障している場合、すなわち表３の状態の場合、フェール・セーフ多数決論理回路の運転を継続していると、次に並列論理入力４０３に入力を与える図示していない処理系が故障して、誤って「１」を出力した場合には、フェール・セーフ多数決論理回路は危険側誤出力を出力してしまう。

したがって、このような場合、本発明では、この危険側出力を避けるために、例えば表３に示すような出力結果が観測された時点で、並列論理入力４０３を強制的に「０」に固定する処理を行う。これにより、第２番目の故障が発生しても、表５に示されるように、錯誤による危険側出力が出力しないことが分かる。

次に、図４に、フェール・セーフ多数決論理回路を備えた電子連動装置のブロック図を示す。

６０１〜６０３は連動論理の演算を行う処理装置であり、制御要求情報を入力し、さらに転てつ器あるいは信号機などを制御するための信号をパラレル出力し、またフェール・セーフ多数決論理回路の出力をパラレルに入力し、さらには転てつ器あるいは信号機などの表示情報や軌道リレーからの情報をパラレルに入力している。

６１１は図３で示したフェール・セーフ多数決論理回路であり、処理装置６０１〜６０３から入力されるパラレル信号線の数だけ並んだ構成を持つ。６２１は制御要求情報を伝達する回線であり、処理装置６０１〜６０３に接続されている。

６３１〜６３３は処理装置６０１〜６０３間でデータを交換するためのラインである。６４１〜６４３はパラレルラインであり、転てつ器あるいは信号機などを制御するための信号が流れる。６５１は転てつ器または信号機などに直接または中継リレーなどを介して間接的に接続されるラインである。

６６１はフェール・セーフ多数決論理回路６１１が出力した情報を処理装置６０１〜６０３にフィードバックするラインであり、処理装置６０１〜６０３に並列に接続されている。６７１は、転てつ器あるいは信号機などからの表示情報や軌道リレーからの情報を処理装置６０１〜６０３に伝達するラインである。

次にフェール・セーフ多数決論理回路を備えた電子連動装置の動作について説明する。 進路設定を行う場合には図示していない上位のシステムが６２１を介して、処理装置６０１〜６０３に同時に進路要求情報を伝送する。

３系の処理装置６０１〜６０３は全く同じ処理を同時に行い、処理結果を６４１〜６４３に同時に出力する。さらに、３系の処理装置６０１〜６０３は６３１〜６３３を通じて、適当な間隔でお互いに監視データを交換し合い、故障検出を行う。

フェール・セーフ多数決論理回路６１１は６４１〜６４３を介して得られた制御情報の多数決を行い、結果を６５１に出力し、転てつ器などの制御対象に制御信号を出力する。また、その制御信号は６６１を介して３系の処理装置６０１〜６０３にフィードバックされる。

フェール・セーフ多数決論理回路６１１の故障検出を行うためには、３系の処理装置６０１〜６０３は、定期的に故障診断モードに入り、６３１〜６３３を介して情報を交換しながら６４１〜６４３に故障診断用のテストパターンを出力する。

本発明によるフェール・セーフ多数決論理回路の基本回路図である。 本発明によるフェール・セーフ多数決論理回路の具体的な回路図である。 本発明によるフェール・セーフ多数決論理回路の故障検出を考慮した回路図である。 本発明におけるフェール・セーフ多数決論理回路を用いた電子連動装置の構成図である。 従来技術によるフェール・セーフ多数決論理回路図である。 従来技術によるフェール・セーフ多数決論理回路の具体的な回路図である。

符号の説明

１０１〜１０３：並列論理入力
１１１〜１１３：ＡＮＤ回路
１２１：ＯＲ回路
１３１：論理出力
２０１〜２０３：並列論理入力
２１１〜２１６：トランジスタ
２２１〜２２６：ダイオード
２３１〜２３９：抵抗
２４１〜２４３：正電位電源端子
２５１〜２５３：零電位電源端子
２６１：論理出力
３０１〜３０３：並列論理入力
３１１〜３１３：ＯＲ回路
３２１：ＡＮＤ回路
３３１：論理出力
４０１〜４０３：並列論理入力
４１１〜４１６：ダイオード
４２１〜４２３：フォト・モス・リレー
４３１〜４３３：零電位電源端子
４４１〜４４２：出力端子
５０１：故障検出用電源
５１１：制御対象
５２１：故障検出用端子
６０１〜６０３：処理装置
６１１：フェール・セーフ多数決論理回路

Claims (1)

1. 連動の論理計算を行ない、信号機あるいは転てつ器を直接駆動するための論理値「１」と論理値「０」をとる信号、またはそれらの機器を駆動するリレーを制御するための論理値「１」と論理値「０」をとる信号の少なくとも一方の信号をパラレルに出力する３組の処理装置と、これら３組の処理装置から出力される３個の論理値のうちの２個ずつを入力とする３個のＯＲ回路及びこれら３個のＯＲ回路の出力を入力とする３入力ＡＮＤ回路により多数決演算を行うフェール・セーフ多数決論理回路を備えたパラレル出力型電子連動装置において、
   前記３入力ＡＮＤ回路は、単一故障では危険側の出力にならないフェール・セーフ性を有する回路で構成され、
   前記フェール・セーフ多数決論理回路に制御モードと故障検出モードを設定し、故障検出モード時に、前記３個の論理入力に故障検出用のパターンを与え、出力を観測することにより、フェール・セーフ多数決論理回路を構成している部品の故障を検出する際、前記故障検出モードにおいて、部品の短絡故障を検知した場合に、３個ある入力の中の１個を、フェール・セーフ多数決論理回路の出力が危険側に出力しないように変更することを特徴とするパラレル出力型電子連動装置。

Images