JP4243742B2

JP4243742B2 - Fail-safe controller

Info

Publication number: JP4243742B2
Application number: JP20730398A
Authority: JP
Inventors: 剛竹原; 伸一朗山口; 直人宮崎; 道雄藤原
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1998-07-23
Filing date: 1998-07-23
Publication date: 2009-03-25
Anticipated expiration: 2018-07-23
Also published as: JP2000039902A

Description

【０００１】
【発明の属する技術分野】
本発明はフェールセーフコントローラに係り、特に、制御対象を制御するための制御出力として、交番信号を用いたフェールセーフコントローラに関する。
【０００２】
【従来の技術】
信号機や踏切の制御装置においては、制御装置の故障が発生してシステムを停止せざるを得ない場合に、システムとして安全な状態で（例えば信号機を赤にする、踏切を閉じた状態にする）停止させる必要がある。
【０００３】
システムの安全性を高めるための手法として、鉄道分野のように制御周期の長い制御システムでは制御出力として交番信号（交流信号のようなもの）を用いる手法がある。以下、この手法について図９を用いて説明する。
【０００４】
フェールセーフコントローラ１は、制御対象６の状態を入力３として取り込み、制御演算処理を実行する。フェールセーフコントローラ１は、演算処理の結果を一定周期の交番信号または固定値信号に変換して制御出力２として出力する。制御出力２は整流回路４に入力され、整流回路４は、一定周期の交番信号が入力されたときのみ論理値１を出力し、それ以外の信号が入力された場合には論理値０を出力する。制御対象６は、整流回路４の出力が論理値０のときに安全な状態に駆動され、整流回路４の出力が論理値１のときに危険が伴う状態に駆動される。したがって、コントローラ１の出力２は、交番信号であるときに危険側出力と定義され、固定値信号であるときに安全側出力と定義される。
【０００５】
コントローラ１に異常が発生した場合、制御出力２としては論理値１または論理値０として固定されることが多いが、固定値信号は安全側出力とみなされるので、制御対象６が危険側に駆動されることはなく、システムを安全な状態に保つことができる。
【０００６】
この交番信号を生成する方法としては、図１０に示すように、制御演算処理プログラム中に、交番信号周期毎に交番信号を生成する交番出力処理ルーチンを埋め込む手法がある（これは、通常、シングルスレッド構造と呼ばれている）。交番出力処理は、その制御周期の間の出力が危険側出力であるならば、出力の値の反転出力（１の場合に０に、０の場合に１にする）を繰り返し、制御周期の間の出力が安全側であるならば、出力の値を制御周期の間一定にする。システムに異常が発生し、制御演算処理が停止すると、交番出力処理も同時に停止し、出力は固定値となり安全側出力が出続けるので、システムの安全性は保たれる。
【０００７】
【発明が解決しようとする課題】
しかしながら、図１０に示した手法では、制御演算処理プログラムを作成した後に、交番信号周期毎にプログラムを分割し、交番出力処理ルーチンを埋め込む必要がある。またプログラムの変更をする場合において、交番信号周期がずれないように、再度プログラムの分割を行う必要が生じる。
【０００８】
このように従来の技術では、制御周期や制御演算処理内容の一部の変更であっても、プログラム分割が必要となるため、プログラムの生産効率が非常に悪くなってしまう。また、交番信号の周期は、制御演算周期に比べ十分小さいことが要求されるため、制御演算処理に交番出力処理を埋め込むためには、多大な労力が必要とされる。
【０００９】
また、フェールセーフコントローラにおいても低価格化の要求が高まっており、開発費や開発期間の削減が重要である。このため、システムの共通化が必須となっている。共通化を実現するためには、各応用への展開が容易に可能となるようなシステム構成が必要である。そのためにも、交番信号出力処理を容易にする方法が望まれている。
【００１０】
本発明の目的は、演算処理プログラムの作成・変更を容易に行うことができ、システムの生産性向上を図ることが可能なフェールセーフコントローラを提供することである。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、請求項１に記載の発明は、制御対象の状態入力を取り込んで演算処理を行い、その演算処理結果を交番信号に変換するとともに、その交番信号に基づいてシステムを安全側に制御するフェールセーフコントローラにおいて、予め設定された制御周期毎に発生される制御周期開始トリガに応答して前記状態入力を取り込んで演算処理を行いその演算処理結果を出力するとともに前記制御周期開始トリガを出力する制御演算部と、前記制御周期開始トリガが入力されたときに前記演算処理結果を取り込んで保持するレジスタと、タイマ割込みによって前記レジスタに保持された前記演算処理結果を取り込んで交番信号に変換し、その交番信号を前記制御対象を制御するための制御出力として出力する交番信号出力部と、前記交番信号を監視して、前記制御演算部に異常が発生していることが分かったときは交番信号の出力を抑止する出力監視部とを備えたことを特徴としている。
【００１２】
上記構成によれば、交番信号の出力処理を行う出力部が制御演算部から分離されるため、制御演算部は交番信号の出力処理を意識することなく演算処理プログラムの作成・変更を容易に行うことができ、演算処理系の生産性が向上する。
【００１３】
上記構成のように制御演算部から交番信号出力部を分離すると、制御演算部で異常が発生し、交番信号を発生させる指令が制御演算部から交番信号出力部に対して出続けた場合、フェールセーフコントローラは危険側出力を出力し続ける可能性がある。ところが、請求項１に記載の発明では、出力監視部が交番信号を監視して、制御演算部に異常が発生していることが分かったときは交番信号の出力を抑止するので、システムの安全性を保つことができる。
【００１４】
交番信号の出力処理のタイミングを合わせるために、前記制御演算部は、前記交番信号出力部に対して、交番信号に変換する処理の開始を指示する制御周期開始トリガを送るように構成されている。
【００１５】
また、前記交番信号出力部には、交番信号の周期を設定するタイマからタイマ割込みが送信される。
【００１６】
交番信号を監視して交番信号の出力を抑止するには請求項３のように構成することができる。すなわち、請求項３に記載の発明は、前記出力監視部は、前記交番信号出力部が出力した交番信号の交番回数を計測する計測手段と、交番回数の上限値を設定する上限値設定手段と、前記計測手段で計測した交番回数が前記上限値設定手段で設定された交番回数の上限値に達したときに、前記制御出力の出力を停止する出力制御手段とを有することを特徴としている。
【００１７】
なお、前記上限値設定手段を、設定した交番回数の上限値を変更できるよう構成することもできる。また前記出力制御手段を、前記計測手段で計測した交番回数が前記上限値設定手段で設定された交番回数の上限値に達したとき、その旨を外部に通達するように構成することもできる。
【００１８】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照しながら説明する。
図１は本発明に係るフェールセーフコントローラの全体構成を示している。図において、フェールセーフコントローラ１は制御対象の状態入力３を取り込んで制御演算処理を実行し、その演算処理結果を交番信号または固定値信号に変換して制御出力２として出力する。このようなフェールセーフコントローラ１は、例えば踏切制御システムでは、踏切への列車の接近を踏切制御装置に通達する踏切制御子や、踏切装置に故障が発生した場合に踏切故障を通達する踏切故障検出器などの入力装置からの入力情報に合わせて、列車の接近・通過を光と音で警報する踏切警報機や、道路の通行を遮断する踏切遮断機等を制御するために設置される。
【００１９】
フェールセーフコントローラ１は、制御演算部１０と出力部１１とから構成されている。制御演算部１０は制御演算処理を実行して演算出力１２を出力するとともに、制御周期のはじめに、制御周期開始トリガ１３としてパルス信号を出力し、出力部２に制御周期の開始を通達する。制御周期開始トリガ１３は、出力部１１内の交番信号出力部１１１と出力監視部１１２にそれぞれ入力される。
【００２０】
出力部１１は、交番信号の周期を設定するタイマ１１０と、演算出力１２を基に交番信号を生成する交番信号出力部１１１と、交番信号出力部１１１からの交番出力１１４を監視して制御出力２の出力／停止を制御する出力監視部１１２とから構成されている。
【００２１】
タイマ１１０は、交番信号の周期毎にタイマ割込み１１３を出力する。従来のシングルスレッド構造では、制御演算部の処理の流れにより交番信号周期を管理しているため、制御演算部と交番出力処理部を独立に動作させることができなかった。本実施の形態では、交番信号の周期はタイマ１１０により管理されるため、出力部１１は、タイマ割込み１１３により、制御演算部１０での演算処理とは非同期に交番信号を出力することが可能となる。
【００２２】
交番信号出力部１１１は、演算出力１２の値を制御周期開始トリガ１３が入力される毎に取り込む。また交番信号出力部１１１は、タイマ割込み１１３が入力される毎に、取り込んだ演算結果が論理値１の場合には、タイマ割込み１１３が入力される以前の出力の値を反転し（１を０に、０を１にする）、論理値０の場合には、タイマ割込み１１３が入力される以前の出力の値を維持して、交番出力１１４として出力する。
【００２３】
出力監視部１１２は、制御周期開始トリガ１３により交番出力１１４の観測を開始し、実際に制御対象に渡される制御出力２の出力を制御する。
【００２４】
制御演算部１０は、出力部１１に対して演算出力１２と制御周期開始トリガ１３を受け渡すだけで、出力部１１からの干渉は受けない。また、出力部１１は、タイマ１１０からのタイマ割込み１１３により交番信号生成処理を実行する。このため、制御演算部１０は、出力の信号変換を意識する必要はなくなり、制御演算部１０と出力部１１とを非同期に動作させることができる。
【００２５】
図２は、図１に示した制御演算部１０及び出力部１１の動作のタイムチャートである。制御演算部１０は、制御周期のはじめに制御周期開始トリガ１３を出力する。次に、制御演算を行うために、制御対象の状態入力３を取り込む。取り込んだ値を基にして制御演算が実行され、演算が終了すると演算出力１２を出力する。次の制御周期に遷移する時には、制御周期開始トリガ１３が出力され、以降では同様の処理が繰り返される。
【００２６】
出力部１１は、制御周期開始トリガ１３が入力されると、前制御周期の演算出力１２を取り込む。そして、出力部１１は、タイマ割込み１１３によって、取り込んだ演算結果の値を交番信号に変換する処理が起動される。
このように、同一の制御周期の間は、制御演算部１０と出力部１１は互いに干渉することなく、それぞれ独立に動作する。
【００２７】
図３は、図１に示した交番信号出力部１１１の構成図である。交番信号出力部１１１は、図３に示すように、演算出力１２の値を保持するレジスタ１１１０と、交番信号を生成して交番出力１１１４を出力する交番出力生成部１１１１と、出力された交番出力１１１４を保持する出力レジスタ１１１２とから構成されている。
【００２８】
レジスタ１１１０は、制御周期開始トリガ１３が入力されたときに、演算出力１２の値を取り込む。そしてレジスタ１１１０は、取り込んだ演算出力１２の値を、再度、制御周期開始トリガ１３が入力されるまで保持する。すなわち、一つの制御周期の間は、レジスタ１１１０の値は変化せず、次の制御周期へ遷移する場合においてのみレジスタ１１１０の値が変化する。
出力レジスタ１１１２は、出力レジスタ１１１２への交番出力１１１４が変化するまで交番出力１１４の値を保持する。
【００２９】
交番出力生成部１１１１は、タイマ割込み１１３により動作が起動する。以下図４のフローチャートを参照して交番出力生成部１１１１の動作を説明する。交番出力生成部１１１１は、ステップ１１１１０において、レジスタ１１１０からの出力１１１３の値が論理値１か、または論理値０かを判断する。論理値１である場合には、ステップ１１１１１において、出力レジスタ１１１２に保持されている値を反転（論理値１のとき論理値０に、論理値０のとき論理値１に）する。論理値０である場合には、出力レジスタ１１１２に保持されている値を変化させず、出力レジスタ１１１２へ入力する。以上の処理が実行された後、割り込み処理が終了する。このようにして、交番出力生成部１１１１は、レジスタに保持された演算結果を交番信号または固定値信号に変換することができる。
【００３０】
出力レジスタ１１１２への入力値の変化は、タイマ割り込み１１３により交番出力生成部１１１１の動作が起動したときであるので、交番出力１１４の信号周期は、タイマ割り込み１１３の発生間隔により決定される。
【００３１】
図５は、図１に示した出力監視部１１２の構成図である。出力監視部１１２は、交番出力１１４の交番回数を計測するカウンタ１１２１と、予め設定された交番回数の上限値１１２４を保持する設定レジスタ１１２０と、カウンタ１１２１からの値１１２５と予め設定されたカウンタ上限値１１２４とを比較する大小比較器１１２２と、交番信号の出力／停止を制御する出力制御部１１２３とから構成されている。なお、ここでは、カウンタ１１２１は計測手段を、設定レジスタ１１２０は上限値設定手段を、大小比較器１１２２と出力制御部１１２３は出力制御手段をそれぞれ構成している。
【００３２】
カウンタ１１２１は、交番出力１１４が出力されている場合に、交番出力１１４の立ち上がりを見て、交番信号の出力回数を計測する。カウンタ１１２１は、制御周期開始トリガ１３が１パルス入力されると値がリセットされる。大小比較器１１２２は、カウンタ１１２１からの値１１２５が、設定レジスタ１１２０からの上限値１１２４よりも大きくなった場合に、出力停止信号１１２６を論理値１として出力する。
【００３３】
出力停止信号１１２６は出力制御部１１に入力され、出力制御部１１は、出力停止信号１１２６が論理値１となると、制御出力２として交番信号が出力されることを抑止する。このとき、カウンタ１１２１は計測動作を継続しており、カウンタ１１２１からの値１１２５はカウンタ上限値１１２４よりも大きい状態を維持し続ける。このため、大小比較器１１２２は出力停止信号１１２６を論理値１として出力し続け、これによって、制御出力２は固定値を、すなわち安全側出力として出力され続ける。
【００３４】
カウンタ１１２１からの値１１２５がカウンタ上限値１１２４よりも大きくなるのは、制御周期以上の時間が経過しても制御周期開始トリガ１３からパルス信号が出力されず、カウンタ１１２１がリセットされない状態である。この状態を、制御演算部１０に異常が発生した状態と見なすことにより、システムの安全性を確保することができる。
【００３５】
ここで、カウンタ上限値１１２４が小さいと、制御周期の途中でカウンタ１１２１の値１１２５がカウンタ上限値１１２４より大きくなり、システムに異常がないにも関わらず出力が停止される可能性がある。そこで、制御周期をＴｃ、交番信号周期をＴｘとし、カウンタ上限値をＮｒとすると、
Ｎｒ＞（Ｔｃ／Ｔｘ）
の条件を満たすようにＮｒを設定することにより、制御周期の間の交番信号出力が保証される。
【００３６】
また、出力停止信号１１２６を、外部に送信することにより、出力監視部１１２で検出した異常を上位の制御装置に通達したり、システムの電源を遮断したりするように構成することも可能である。
【００３７】
図６は、図５に示したカウンタ１１２１の動作と、出力に関する各信号を時系列で表したタイムチャートである。図６において、Ｔ１のタイミングで制御周期開始トリガ１３の立ち下がりを見て、カウンタ１１２１の値がリセットされる。Ｔ１で演算出力１４の値が１であるので、交番出力１１４は交番信号が出力される。カウンタ１１２１は、交番出力１１４の交番回数を計測する。Ｔ２のタイミングまでに、カウンタの値は設定値に達しないため、Ｔ２まで制御出力２は交番信号を出力し続ける。
【００３８】
Ｔ２で制御周期開始トリガ１３の立ち下がりを検出すると、カウンタ１１２１の値は再びリセットされる。Ｔ２で演算出力１４の値が０であるので、交番出力１１４は固定した値（図では０固定）が出力される。カウンタ１１２１は、交番出力１１４の信号変化がないために計測を行わず、カウンタ１１２１の値は増加しない。
【００３９】
次に、Ｔ３のタイミングからＴ１のタイミングと同様にカウンタ１１２１の値の増加が開始するが、ここで制御演算部１０において異常が発生し、演算処理が停止すると、制御周期が経過しても制御周期開始トリガ１３が現れず、カウンタ１１２１が計測を続ける。
【００４０】
そして、Ｔ４のタイミングでカウンタ１１２１からの値１１２５が設定値１１２４よりも大きくなると、Ｔ４以降は出力停止信号１１２６に論理値１が出力される。制御出力２は、Ｔ４まで交番信号を出力しているが、出力停止信号１１２６によりＴ４以降の制御出力２は論理値０を出力し続け、システムは安全側に保たれる。
【００４１】
最も単純な応用例としては、システム自身の健全性を交番信号で出力する事が考えられる。この場合は、特別な制御演算は必要なく、演算出力１４は常に論理値１であり、制御演算部１０は制御周期毎に制御周期開始トリガ１３としてパルス信号を出力するだけでよい。これにより交番出力部１１は交番信号を出力し続ける。システムに異常が発生し、制御演算部１０の処理が停止すると、制御周期開始トリガ１３が出力されなくなるため、出力監視部１１２により交番信号出力が抑止される。したがって、交番信号の出力の有無で、システムの健全性を知ることができる。
【００４２】
以上の説明では本発明をハードウェア的に実施した例を示したが、図７のように各構成要素をソフトウェアとして実現することも可能である。この場合、アプリケーションプログラム７０の一部に制御演算部７００を、ＯＳ／ミドルウェア７１の一部に交番出力部７１０と出力監視部７１１とを、ハードウェア７２の一部にタイマ７２０をそれぞれ割り当てる。アプリケーションプログラム７０は状態入力７５に基づいて一定制御周期で処理を実行しており、ハードウェア７２内部のタイマ７２０により交番周期毎にタイマ割込み７６が発生し、割込み処理として、演算出力７３を参照して交番出力処理が実行される。ＯＳ／ミドルウェア７１は、割込み処理の実行回数を計測することにより、出力監視処理が実行され、出力７４の出力／停止を制御することが可能である。
【００４３】
図８は、図７に示したシステム構成における制御演算部７００と交番出力部７１０の動作のタイムチャートである。制御演算部７００の実行中に、交番信号周期毎のタイマ割込み７６により、交番出力部７１０に処理が移行する。交番出力部７１０の処理が終了すると制御演算部７００に処理が復帰する。交番信号周期はタイマ割込み７６によって管理されるため、制御演算部７００は、交番周期毎の出力処理を意識する必要はない。したがって、タイマ割込み７６を用いることにより、制御演算部７００と交番出力部７１０とは、互いに非同期に動作することが可能である。
【００４４】
【発明の効果】
以上説明したように、本発明によれば、交番信号の出力処理を行う出力部が制御演算部から分離されるため、制御演算部は交番信号の出力処理を意識することなく演算処理プログラムの作成・変更を行うことができ、システムの生産性向上を図ることが可能となる。
【００４５】
また、出力部は交番出力を監視して、制御演算部に異常が発生していると分かったときには交番出力を停止するので、システムの安全性を確保することが可能となる。
【図面の簡単な説明】
【図１】本発明に係るフェールセーフコントローラの全体構成図である。
【図２】図１に示した制御演算部及び出力部の動作のタイムチャートである。
【図３】図１に示した交番出力部の詳細構成図である。
【図４】図３に示した交番出力生成部での交番信号生成のフローチャートである。
【図５】図１に示した出力監視部の詳細構成図である。
【図６】図５に示したカウンタの動作及び信号のタイムチャートである。
【図７】本発明をソフトウェアとして実施した場合の一例を示した図である。
【図８】図７に示した制御演算部及び交番出力部の動作のタイムチャートである。
【図９】交番信号出力を用いてシステムを安全側に制御する一例を示した図である。
【図１０】従来の交番信号出力方法（シングルスレッド構造）を示した図である。
【符号の説明】
１フェールセーフコントローラ
２制御出力
３状態入力
６制御対象
１０制御演算部
１１出力部
１２演算出力
１３制御周期開始トリガ
１１０タイマ
１１１交番信号出力部
１１２出力監視部
１１３タイマ割込み
１１４交番出力
１１１０レジスタ
１１１１交番出力生成部
１１１２出力レジスタ
１１２０設定レジスタ
１１２１カウンタ
１１２２大小比較器
１１２３出力制御部[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a fail-safe controller, and more particularly to a fail-safe controller that uses an alternating signal as a control output for controlling a controlled object.
[0002]
[Prior art]
In a traffic light or level crossing control device, when the control device fails and the system must be stopped, the system is in a safe state (for example, the traffic light is turned red or the level crossing is closed). It needs to be stopped.
[0003]
As a method for improving the safety of the system, there is a method of using an alternating signal (such as an AC signal) as a control output in a control system having a long control cycle as in the railway field. Hereinafter, this method will be described with reference to FIG.
[0004]
The fail safe controller 1 takes in the state of the controlled object 6 as an input 3 and executes a control calculation process. The fail safe controller 1 converts the result of the arithmetic processing into an alternating signal or a fixed value signal having a constant period, and outputs it as a control output 2. The control output 2 is input to the rectifier circuit 4. The rectifier circuit 4 outputs a logical value 1 only when an alternating signal having a fixed period is input, and outputs a logical value 0 when other signals are input. To do. The control target 6 is driven to a safe state when the output of the rectifier circuit 4 is a logical value 0, and is driven to a state involving danger when the output of the rectifier circuit 4 is a logical value 1. Therefore, the output 2 of the controller 1 is defined as a dangerous output when it is an alternating signal, and is defined as a safe output when it is a fixed value signal.
[0005]
When an abnormality occurs in the controller 1, the control output 2 is often fixed as a logical value 1 or a logical value 0. However, since the fixed value signal is regarded as a safe output, the controlled object 6 is driven to the dangerous side. It is never done and the system can be kept safe.
[0006]
As a method for generating this alternating signal, as shown in FIG. 10, there is a method of embedding an alternating output processing routine for generating an alternating signal every alternating signal period in the control arithmetic processing program (this is usually a single signal). Called thread structure). In the alternating output process, if the output during the control cycle is a dangerous output, the output value is inverted (0 when 1 and 1 when 0) during the control cycle. If the output is safe, the output value is kept constant during the control cycle. When an abnormality occurs in the system and the control calculation process stops, the alternating output process also stops at the same time, the output becomes a fixed value and the safe side output continues to be output, so that the safety of the system is maintained.
[0007]
[Problems to be solved by the invention]
However, in the method shown in FIG. 10, after creating the control calculation processing program, it is necessary to divide the program every alternating signal cycle and embed an alternating output processing routine. Further, when changing the program, it is necessary to divide the program again so that the alternating signal cycle does not shift.
[0008]
As described above, according to the conventional technique, even if the control cycle and the contents of the control calculation processing are partially changed, the program is required to be divided, so that the production efficiency of the program is extremely deteriorated. Further, since the cycle of the alternating signal is required to be sufficiently smaller than the control computation cycle, a great deal of labor is required to embed the alternating output processing in the control computation processing.
[0009]
In addition, there is an increasing demand for lower prices in fail-safe controllers, and it is important to reduce development costs and development periods. For this reason, system sharing is essential. In order to realize commonality, a system configuration that enables easy application to each application is required. Therefore, a method for facilitating the alternating signal output process is desired.
[0010]
An object of the present invention is to provide a fail-safe controller capable of easily creating / changing an arithmetic processing program and capable of improving system productivity.
[0011]
[Means for Solving the Problems]
In order to achieve the above object, the invention described in claim 1 takes in the state input of the controlled object and performs arithmetic processing, converts the arithmetic processing result into an alternating signal, and converts the system based on the alternating signal. in the fail-safe controller for controlling the safety side, the control outputs of the row have the operation result of the arithmetic processing takes in the state input in response to a control cycle start trigger is generated to a preset control for each cycle a control arithmetic unit for outputting a cycle start trigger, a register for holding captures the operation result when the control period start trigger is input, captures the operation result held in said register by a timer interrupt It converted to alternating signals, the alternating signal output unit for outputting the alternating signal as a control output for controlling the control target And monitoring said alternating signal when an abnormality in the control arithmetic unit has found to be generated is characterized in that an output monitoring part for preventing the output of the alternating signal.
[0012]
According to the above configuration, since the output unit that performs the output process of the alternating signal is separated from the control arithmetic unit, the control arithmetic unit can easily create and change the arithmetic processing program without being aware of the output process of the alternating signal. This can improve the productivity of the arithmetic processing system.
[0013]
When the alternating signal output unit is separated from the control calculation unit as in the above configuration, if an abnormality occurs in the control calculation unit and a command to generate an alternating signal continues to be output from the control calculation unit to the alternating signal output unit, The safe controller may continue to output dangerous output. However, in the first aspect of the invention, the output monitoring unit monitors the alternating signal and suppresses the output of the alternating signal when it is found that an abnormality has occurred in the control arithmetic unit. Can keep sex.
[0014]
In order to match the timing of the output processing of the alternating signal, the control arithmetic unit, to the pre-Symbol alternating signal output unit, configured to send the control cycle start trigger for instructing the start of processing for converting the alternating signal Yes.
[0015]
Further, the alternating signal output unit, a timer interrupt is sent from the timer to set the period of the exchange numbering signal.
[0016]
In order to suppress the output of the alternating signal by monitoring the alternating signal, it can be configured as in claim 3 . That is, according to the invention described in claim 3 , the output monitoring unit includes a measuring unit that measures the number of alternations of the alternation signal output from the alternation signal output unit, and an upper limit value setting unit that sets an upper limit value of the alternation number of times. And an output control means for stopping the output of the control output when the number of alternating times measured by the measuring means reaches the upper limit value of the alternating number of times set by the upper limit value setting means.
[0017]
Incidentally, the upper limit setting unit may be configured so that can change the upper limit of the number of alternations was set boss. The said output control means, when the number of alternations measured in the previous SL measuring means has reached the upper limit value of alternating count set by said upper limit setting unit may be configured to notice that to the outside .
[0018]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
FIG. 1 shows the overall configuration of a fail-safe controller according to the present invention. In the figure, the fail safe controller 1 takes in a state input 3 to be controlled and executes control arithmetic processing, converts the arithmetic processing result into an alternating signal or a fixed value signal, and outputs it as a control output 2. Such a fail-safe controller 1 is, for example, in a crossing control system, a crossing controller that notifies the crossing control device of the approach of the train to the crossing, or a crossing failure detection that notifies a crossing failure when a failure occurs in the crossing device. It is installed to control railroad crossing alarms that warn and approach trains with light and sound, and railroad crossing barriers that block road traffic, etc.
[0019]
The fail safe controller 1 includes a control calculation unit 10 and an output unit 11. The control calculation unit 10 executes a control calculation process and outputs a calculation output 12 and outputs a pulse signal as a control cycle start trigger 13 at the beginning of the control cycle, and notifies the output unit 2 of the start of the control cycle. The control cycle start trigger 13 is input to the alternating signal output unit 111 and the output monitoring unit 112 in the output unit 11, respectively.
[0020]
The output unit 11 monitors and controls the timer 110 that sets the cycle of the alternating signal, the alternating signal output unit 111 that generates the alternating signal based on the calculation output 12, and the alternating output 114 from the alternating signal output unit 111. 2 and an output monitoring unit 112 that controls output / stop.
[0021]
The timer 110 outputs a timer interrupt 113 for each cycle of the alternating signal. In the conventional single thread structure, since the alternating signal period is managed by the processing flow of the control arithmetic unit, the control arithmetic unit and the alternating output processing unit cannot be operated independently. In this embodiment, since the cycle of the alternating signal is managed by the timer 110, the output unit 11 can output the alternating signal asynchronously with the arithmetic processing in the control arithmetic unit 10 by the timer interrupt 113. Become.
[0022]
The alternating signal output unit 111 takes in the value of the calculation output 12 every time the control cycle start trigger 13 is input. Further, every time the timer interrupt 113 is input, the alternating signal output unit 111 inverts the value of the output before the timer interrupt 113 is input (1 is changed to 0) when the fetched calculation result is a logical value 1. When the logical value is 0, the output value before the timer interrupt 113 is input is maintained and output as the alternating output 114.
[0023]
The output monitoring unit 112 starts observing the alternating output 114 by the control cycle start trigger 13 and controls the output of the control output 2 that is actually passed to the control target.
[0024]
The control calculation unit 10 simply passes the calculation output 12 and the control cycle start trigger 13 to the output unit 11, and does not receive interference from the output unit 11. Further, the output unit 11 executes an alternating signal generation process by a timer interrupt 113 from the timer 110. For this reason, it is not necessary for the control calculation unit 10 to be aware of the signal conversion of the output, and the control calculation unit 10 and the output unit 11 can be operated asynchronously.
[0025]
FIG. 2 is a time chart of operations of the control calculation unit 10 and the output unit 11 shown in FIG. The control calculation unit 10 outputs a control cycle start trigger 13 at the beginning of the control cycle. Next, in order to perform the control calculation, the state input 3 to be controlled is fetched. A control calculation is executed based on the fetched value, and a calculation output 12 is output when the calculation ends. When transitioning to the next control cycle, the control cycle start trigger 13 is output, and thereafter the same processing is repeated.
[0026]
When the control cycle start trigger 13 is input, the output unit 11 takes in the calculation output 12 of the previous control cycle. Then, the output unit 11 is activated by the timer interrupt 113 to convert the fetched operation result value into an alternating signal.
Thus, during the same control cycle, the control calculation unit 10 and the output unit 11 operate independently without interfering with each other.
[0027]
FIG. 3 is a block diagram of the alternating signal output unit 111 shown in FIG. As shown in FIG. 3, the alternating signal output unit 111 includes a register 1110 that holds the value of the operation output 12, an alternating output generation unit 1111 that generates an alternating signal and outputs the alternating output 1114, and the output alternating output And an output register 1112 that holds 1114.
[0028]
The register 1110 takes in the value of the calculation output 12 when the control cycle start trigger 13 is input. The register 1110 holds the fetched value of the calculation output 12 until the control cycle start trigger 13 is input again. That is, the value of the register 1110 does not change during one control cycle, and the value of the register 1110 changes only when transitioning to the next control cycle.
The output register 1112 holds the value of the alternating output 114 until the alternating output 1114 to the output register 1112 changes.
[0029]
The alternating output generation unit 1111 is activated by a timer interrupt 113. The operation of the alternating output generation unit 1111 will be described below with reference to the flowchart of FIG. In step 11110, the alternating output generation unit 1111 determines whether the value of the output 1113 from the register 1110 is a logical value 1 or a logical value 0. If the logical value is 1, in step 11111, the value held in the output register 1112 is inverted (the logical value is 0 when the logical value is 1, and the logical value is 1 when the logical value is 0). If the logical value is 0, the value held in the output register 1112 is not changed and is input to the output register 1112. After the above processing is executed, the interrupt processing ends. In this way, the alternating output generation unit 1111 can convert the calculation result held in the register into an alternating signal or a fixed value signal.
[0030]
Since the change of the input value to the output register 1112 is when the operation of the alternating output generation unit 1111 is started by the timer interrupt 113, the signal cycle of the alternating output 114 is determined by the generation interval of the timer interrupt 113.
[0031]
FIG. 5 is a configuration diagram of the output monitoring unit 112 shown in FIG. The output monitoring unit 112 includes a counter 1121 that measures the number of alternations of the alternation output 114, a setting register 1120 that holds a preset upper limit value 1124 of the number of alternations, a value 1125 from the counter 1121, and a preset counter upper limit. It comprises a magnitude comparator 1122 that compares the value 1124 and an output control unit 1123 that controls the output / stop of the alternating signal. Here, the counter 1121 constitutes a measuring means, the setting register 1120 constitutes an upper limit value setting means, and the magnitude comparator 1122 and the output control unit 1123 constitute an output control means.
[0032]
When the alternating output 114 is output, the counter 1121 observes the rising of the alternating output 114 and measures the number of output of the alternating signal. The value of the counter 1121 is reset when one pulse of the control cycle start trigger 13 is input. The magnitude comparator 1122 outputs the output stop signal 1126 as a logical value 1 when the value 1125 from the counter 1121 becomes larger than the upper limit value 1124 from the setting register 1120.
[0033]
The output stop signal 1126 is input to the output control unit 11, and the output control unit 11 suppresses the output of the alternating signal as the control output 2 when the output stop signal 1126 becomes a logical value 1. At this time, the counter 1121 continues the measurement operation, and the value 1125 from the counter 1121 continues to be kept larger than the counter upper limit value 1124. For this reason, the magnitude comparator 1122 continues to output the output stop signal 1126 as a logical value 1, whereby the control output 2 continues to be output as a fixed value, that is, as a safe side output.
[0034]
The value 1125 from the counter 1121 becomes larger than the counter upper limit value 1124 in a state where the pulse signal is not output from the control cycle start trigger 13 and the counter 1121 is not reset even when a time longer than the control cycle has elapsed. By regarding this state as a state in which an abnormality has occurred in the control calculation unit 10, the safety of the system can be ensured.
[0035]
Here, if the counter upper limit value 1124 is small, the value 1125 of the counter 1121 becomes larger than the counter upper limit value 1124 in the middle of the control cycle, and there is a possibility that the output is stopped although there is no abnormality in the system. Therefore, if the control cycle is Tc, the alternating signal cycle is Tx, and the counter upper limit value is Nr,
Nr> (Tc / Tx)
By setting Nr so as to satisfy the following condition, an alternating signal output during the control period is guaranteed.
[0036]
Further, by transmitting the output stop signal 1126 to the outside, it is possible to notify an abnormality detected by the output monitoring unit 112 to a higher-level control device or to shut off the system power. .
[0037]
FIG. 6 is a time chart showing the operation of the counter 1121 shown in FIG. 5 and each signal related to the output in time series. In FIG. 6, the value of the counter 1121 is reset when the falling of the control cycle start trigger 13 is observed at the timing of T1. Since the value of the calculation output 14 is 1 at T1, an alternating signal is output from the alternating output 114. The counter 1121 measures the number of alternations of the alternation output 114. Since the counter value does not reach the set value by the timing of T2, the control output 2 continues to output the alternating signal until T2.
[0038]
When the falling edge of the control cycle start trigger 13 is detected at T2, the value of the counter 1121 is reset again. Since the value of the calculation output 14 is 0 at T2, the alternating output 114 is output with a fixed value (fixed to 0 in the figure). The counter 1121 does not perform measurement because there is no signal change in the alternating output 114, and the value of the counter 1121 does not increase.
[0039]
Next, the value of the counter 1121 starts increasing from the timing T3 in the same manner as the timing T1, but when an abnormality occurs in the control calculation unit 10 and the calculation processing is stopped, the control is continued even if the control cycle elapses. The cycle start trigger 13 does not appear and the counter 1121 continues to measure.
[0040]
When the value 1125 from the counter 1121 becomes larger than the set value 1124 at the timing of T4, a logical value 1 is output to the output stop signal 1126 after T4. The control output 2 outputs an alternating signal until T4, but the control output 2 after T4 continues to output the logical value 0 by the output stop signal 1126, and the system is kept on the safe side.
[0041]
As the simplest application example, it is conceivable to output the soundness of the system itself as an alternating signal. In this case, no special control calculation is required, the calculation output 14 is always the logical value 1, and the control calculation unit 10 only needs to output a pulse signal as the control cycle start trigger 13 for each control cycle. Thereby, the alternating output unit 11 continues to output the alternating signal. When an abnormality occurs in the system and the processing of the control calculation unit 10 is stopped, the control cycle start trigger 13 is not output, so that the output monitoring unit 112 suppresses the alternating signal output. Therefore, the soundness of the system can be known from the presence or absence of the output of the alternating signal.
[0042]
In the above description, an example in which the present invention is implemented in hardware is shown, but each component can be realized as software as shown in FIG. In this case, the control arithmetic unit 700 is assigned to a part of the application program 70, the alternating output unit 710 and the output monitoring unit 711 are assigned to a part of the OS / middleware 71, and the timer 720 is assigned to a part of the hardware 72. The application program 70 executes processing at a constant control cycle based on the state input 75, and a timer interrupt 76 is generated at every alternating cycle by the timer 720 inside the hardware 72, and the arithmetic output 73 is referred to as interrupt processing. The alternate output process is executed. The OS / middleware 71 can control the output / stop of the output 74 by executing the output monitoring process by measuring the number of execution times of the interrupt process.
[0043]
FIG. 8 is a time chart of operations of the control calculation unit 700 and the alternating output unit 710 in the system configuration shown in FIG. During the execution of the control arithmetic unit 700, the processing shifts to the alternating output unit 710 by the timer interrupt 76 for every alternating signal cycle. When the process of the alternating output unit 710 ends, the process returns to the control calculation unit 700. Since the alternating signal cycle is managed by the timer interrupt 76, the control calculation unit 700 does not need to be aware of the output processing for each alternating cycle. Therefore, by using the timer interrupt 76, the control arithmetic unit 700 and the alternating output unit 710 can operate asynchronously with each other.
[0044]
【The invention's effect】
As described above, according to the present invention, since the output unit that performs the output processing of the alternating signal is separated from the control arithmetic unit, the control arithmetic unit creates the arithmetic processing program without being aware of the output processing of the alternating signal.・ Changes can be made and system productivity can be improved.
[0045]
Further, the output unit monitors the alternating output and stops the alternating output when it is found that an abnormality has occurred in the control arithmetic unit, so that the safety of the system can be ensured.
[Brief description of the drawings]
FIG. 1 is an overall configuration diagram of a fail-safe controller according to the present invention.
FIG. 2 is a time chart of operations of a control calculation unit and an output unit shown in FIG.
FIG. 3 is a detailed configuration diagram of an alternating output unit shown in FIG. 1;
4 is a flowchart of alternating signal generation in the alternating output generation unit shown in FIG. 3;
FIG. 5 is a detailed configuration diagram of an output monitoring unit shown in FIG. 1;
6 is a time chart of the operation and signals of the counter shown in FIG.
FIG. 7 is a diagram showing an example when the present invention is implemented as software.
8 is a time chart of operations of a control calculation unit and an alternating output unit shown in FIG.
FIG. 9 is a diagram showing an example of controlling the system to the safe side using an alternating signal output.
FIG. 10 is a diagram showing a conventional alternating signal output method (single thread structure).
[Explanation of symbols]
DESCRIPTION OF SYMBOLS 1 Fail safe controller 2 Control output 3 State input 6 Control object 10 Control operation part 11 Output part 12 Operation output 13 Control period start trigger 110 Timer 111 Alternate signal output part 112 Output monitoring part 113 Timer interrupt 114 Alternate output 1110 Register 1111 Alternate output Generation unit 1112 Output register 1120 Setting register 1121 Counter 1122 Size comparator 1123 Output control unit

Claims

制御対象の状態入力を取り込んで演算処理を行い、その演算処理結果を交番信号に変換するとともに、その交番信号に基づいてシステムを安全側に制御するフェールセーフコントローラにおいて、
予め設定された制御周期毎に発生される制御周期開始トリガに応答して前記状態入力を取り込んで演算処理を行いその演算処理結果を出力するとともに前記制御周期開始トリガを出力する制御演算部と、
前記制御周期開始トリガが入力されたときに前記演算処理結果を取り込んで保持するレジスタと、
タイマ割込みによって前記レジスタに保持された前記演算処理結果を取り込んで交番信号に変換し、その交番信号を前記制御対象を制御するための制御出力として出力する交番信号出力部と、
前記交番信号を監視して、前記制御演算部に異常が発生していることが分かったときは交番信号の出力を抑止する出力監視部と、を備えたことを特徴とするフェールセーフコントローラ。In the fail-safe controller that takes in the state input of the control target, performs arithmetic processing, converts the arithmetic processing result into an alternating signal, and controls the system to the safe side based on the alternating signal.
There row arithmetic processing takes in the state input in response to a control cycle start trigger is generated to a preset control for each cycle and a control arithmetic unit which outputs the control period starting trigger outputs the calculation result ,
A register that captures and holds the calculation processing result when the control cycle start trigger is input ;
An alternating signal output unit that takes in the arithmetic processing result held in the register by a timer interrupt and converts it into an alternating signal, and outputs the alternating signal as a control output for controlling the control target ;
A fail-safe controller, comprising: an output monitoring unit that monitors the alternating signal and suppresses the output of the alternating signal when it is found that an abnormality has occurred in the control arithmetic unit.

請求項１に記載のフェールセーフコントローラにおいて、前記交番信号出力部は、前記演算処理結果が前記システムの危険側のとき交番信号に変換し、その交番信号を前記制御対象を制御するための制御出力として出力し、前記演算処理結果が前記システムの安全側のとき前記演算処理結果を前記制御対象を制御するための制御出力としてそのまま出力し、前記出力監視部は前記交番信号が前記制御周期を越えて継続したとき、前記制御演算部に異常が発生していると判断して前記交番信号の出力を抑止することを特徴とするフェールセーフコントローラ。2. The fail safe controller according to claim 1, wherein the alternating signal output unit converts the alternating signal into an alternating signal when the calculation processing result is a dangerous side of the system, and controls the alternating signal to control the control target. When the calculation processing result is on the safe side of the system, the calculation processing result is output as it is as a control output for controlling the control object, and the output monitoring unit causes the alternating signal to exceed the control cycle. When the operation is continued, it is determined that an abnormality has occurred in the control calculation unit, and the output of the alternating signal is suppressed .

請求項１又は２に記載のフェールセーフコントローラにおいて、前記出力監視部は、前記交番信号の交番回数を計測する計測手段と、交番回数の上限値を設定する上限値設定手段と、前記計測手段で計測した交番回数が前記上限値設定手段で設定された交番回数の上限値に達したときに、前記交番信号の出力を停止する出力制御手段とを有することを特徴とするフェールセーフコントローラ。The fail safe controller according to claim 1 or 2 , wherein the output monitoring unit includes a measuring unit that measures the number of alternations of the alternating signal, an upper limit value setting unit that sets an upper limit value of the alternation number, and the measurement unit. A fail-safe controller comprising: output control means for stopping the output of the alternating signal when the measured number of alternating times reaches the upper limit value of the alternating number of times set by the upper limit value setting means .