JPH07117671A - マイクロプロセッサ内蔵の鉄道等の安全装置 - Google Patents

Abstract

(57)【要約】 【目的】融通性に富み設計の自由度が大きく、かつ、安
全性を犠牲にすることなく製造コストの安い軌道による
交通機関の安全装置機構を実現すること。 【構成】並列に設けられた少なくとも二台のマイクロプ
ロセッサと、センサと、第３のマイクロプロセッサと、
ダイナミックコントローラとからなり、前記マイクロプ
ロセッサの各入力部に前記センサから符号化されたデー
タを受信させ、その出力データ個々は入力データと比較
されて、前記第３のマイクロプロセッサにより符号化さ
れたマイクロプロセッサの処理結果を比較しつつ前記ダ
イナミックコントローラを操作して出力データを自動列
車制御装置（ＡＣＴ）等のアクチュエータに転送する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、特に軌道を使った交
通機関、たとえば列車の安全装置に関する。詳しくは、
センサにより検知されたデータをマイクロプロセッサに
よって処理してアクチュエータたとえばＡＴＣ（自動列
車制御装置）を監視・制御するようにした鉄道等の安全
装置に関する。

【０００２】

【従来の技術】従来から、特に鉄道運輸機関に安全装置
が使用されていることはよく知られているが、それらは
複雑な安全規則、いわゆるフェイルセイフの規則に則っ
て設計されているため機械的機構や回路は複雑である。

【０００３】従来の安全装置は機械的な方法、たとえ
ば、重力の法則の応用や、疲労理論によるものであっ
た。事故の発生が検知されるとシステムの機能は直ちに
抑制状態に置かれる。その結果、列車は減速または停止
される。

【０００４】マイクロプロセッサが発明され、これが安
全機構に応用されるようになった。プログラムされた安
全システムは、二つの原理に拠っている。第１は、情報
のコード化（encoding) による冗長性情報によってエラ
ーの自動検出を行う場合と、冗長性ハードウエア、すな
わち、複数のコンピュータを使ってハードまたはソフト
の構成素子(components)によって検知結果を比較する場
合とがある。

【０００５】情報のコード化では、マイクロプロセッサ
は１基だけしか使用しないが、機能部分とコード化部分
とからなる冗長性情報に基づいて作動するので、二つの
異なった情報に対し重複した(duplicated)アルゴリズム
によることができる。アルゴリズムの許可信号（signat
ure ）は、フエイルセイフベイスによって構成された通
称「ダイナミックコントローラ」として知られる外部制
御装置に送られる。結果が符号と整合するときは、ダイ
ナミックコントローラがこれを確め(validated) 、それ
によりセフテイ出力が外部アクチュエータに発信され
る。もし、結果が符号と整合しないときは、出力はすべ
て無効とされ、抑制される。大事なことは、多くの場合
セフテイ出力は機能的には発効され、読まれて安全度が
制御値と比較されるということである。

【０００６】コード化の能力にもよるが、コード化プロ
セッサ技術ではエラーを検知しないことがあり得る。し
かし、欠点は、計算時間がかかること、複雑なプログラ
ムを要するため製造コストが上がるということである。
他方、この機構は、特別の技術上の手当てを要せず、市
販の産業用マイクロプロセッサを使うことができるとい
う大きな利点を有する。

【０００７】ハードウエア冗長技術（hardware redunda
ncy technique)においては、安全性は、少なくとも二台
のマイクロプロセッサを並列に設置することにより可能
となる。比較・アクセス許可(authorization) は、相互
比較または精緻な安全技術を用いて設計したハードウエ
アにより外部的に行われる。アプリケーション・プログ
ラムは、二台のマイクロプロセッサを同一態様に、また
は、非対称に装備される。

【０００８】こうしたいわゆるデュアルプロセッサシス
テムのもとで高度な安全性を保とうとすれば、通常モー
ドのエラーを防止しなければならない。そのためには、
二つのデータ処理シーケンスとは独立した処理が必要と
なる。そのためには、別個のバスやすべてのハードユニ
ットについてもう一組同じものを備える必要がある。さ
らに、潜在的エラーを防止するため自己試験（self−te
st)や相互試験（cross−test) を行わなければならな
い。

【０００９】

【発明が解決しようとしている課題】２台のマイクロプ
ロセッサを同期化することはデリケートな事項であり、
安全性の確保が、こうしたマイクロプロセッサに精通し
ていることが条件となる。他方、情報は符号化されてい
ない分コンピュータのオーバーロードはない。

【００１０】しかし、比較器がフェイルセーフベースで
設計されていると、安全装置としてのハードウエアは、
応用段階で大幅なコスト高を招く。

【００１１】

【課題を解決するための手段】この発明の目的は、マイ
クロプロセッサをベースにした鉄道等の安全装置であっ
て、特徴は、同じプログラムを扱う少なくとも二台のマ
イクロプロセッサが並列して設けられ、その入力部は、
センサから予め符号化されたデータを受信するとともに
出力データは入力データと比較するため読み取られてエ
ラーの有無が検知される。さらに第３の比較マイクロプ
ロセッサ（通称ｖｏｔｅｒ）が設けられる。第三のマイ
クロプロセッサは、２台のアプリケーション・マイクロ
プロセッサの符号化された識別的結果をプログラムに従
って相互比較し、ダイナミックコントローラを使って比
較の結果を出力データとしてアクチュエータ、たとえ
ば、ＡＴＣに伝達する。

【００１２】本発明の構成では、入力データと出力デー
タだけが符号化され、アプリケーション自体はデュアル
プロセシングにより符号化の必要はない。従って、計算
時間は短くて済む。加えて、ハードウエアの数は少なく
て済むので製造コストはそれだけ安くなる。さらに、後
述するように、装置は、製作が容易であり、しかも設計
の自由度の大きいものとなる。

【００１３】好ましくは、タイムラグを２台のアプリケ
ーション・マイクロプロセッサ間に入れて、固有の通常
モードエラー、たとえば、電磁気的ノイズを防止する。
さらに、好ましくは、一つの非専用（non−dedicated)
の共通バスにより２台のマイクロプロセッサ間で情報伝
達を行う。

【００１４】こうしたことは、伝達する情報の安全保護
が符号化と日付記入(dating)とにより可能となる。

【００１５】

【実施例】一般に、モニタ機構と制御機構として知られ
た安全システムは、センサとアクチュエータとを基本に
しており、アナログ入力をデジタルデータに変換し、こ
れをアルゴリズムを使って処理し、デジタル出力を発生
し、同出力はアナログ出力に変換されアクチュエータを
操作するようにしたものである。

【００１６】第１図の回路図において、Ｐ1 、Ｐ2 は並
列に置かれた二台のマイクロプロセッサである。一また
はそれ以上の入力センサＣＰは入力データＤＥをシステ
ムに供給する。しかるのち、このアナログ型の入力デー
タＤＥは記憶され、アナログ・デジタル変換器Ａ／Ｎ₁
で符号化される。マイクロプロセッサＰ1 、Ｐ2 は同じ
アプリケーションを扱う。アプリケーション自体はデュ
アルプロセスのお陰で符号化を要しない。他方、入力・
出力データはエンコーダを使って符号化される。各マイ
クロプロセッサは、タイムラグをもってアプリケーショ
ンに対処し、これにより、一般モードのエラー、たとえ
ば、電磁気によるノイズなどを防いでいる。

【００１７】マイクロプロセッサの処理結果Ｒ1 、Ｒ2
は、通称" ボータ(voter)" と言われる第三の比較プロ
セッサＰ3 に送られるが、その前にマイクロプロセッサ
により最終的に符号化される。

【００１８】ボータＰ3 は、処理結果Ｒ1 、Ｒ2 をソフ
トを使って、符号化プロセス手段を適用して比較する。
入力は二台のマイクロプロセッサＰ1 、Ｐ2 により符号
化されているから、ボータＰ3 のアルゴリズムは処理結
果Ｒ1 、Ｒ2 の値を比較することによっている。もし比
較の結果が満足すべきものであれば、ボータは、正常運
転を表象した許可サイン(signature) Ｓをダイナミック
コントローラＣＤに送る。そこで、ダイナミックコント
ローラＣＤは、アプリケーション・プロセッサの機能出
力Ｓｉ、ＳｊをラインＡＧに伝達する（図中Ｇ）。この
場合、対象となる機能出力は、プロセッサＰ1 、Ｐ2 の
いずれか一方だけの出力である。さらに、比較結果の内
部分的に異常が検知されれば該当する異常出力は、ボー
タによりラインＡＩを介しインヒビット（inhibit)され
る（図中Ｉ）。

【００１９】次いで、機能出力Ｓｉ、Ｓｊのデジタルデ
ータはアナログ出力データにデジタル・アナログ変換器
Ｎ／Ａにより変換されて、たとえば、ＡＣＴのようなア
クチュエータを操作する。さらに、この出力データＤＳ
は、第２のアナログ・デジタル変換器Ａ／Ｎ2 で変換後
に読まれ、最初に計算済のデジタルデータと比較される
（ＲＬ）。このようにして安全性は監視される。

【００２０】さらに詳しく第２図に基づいて説明する。
三台のプロセッサＰ1 、Ｐ2 、Ｐ3 (voter) は、共通の
非専用の標準型バスに接続される。同バスを介してすべ
ての情報はモジュール間で転送される。このバスは特別
に情報の安全性についての制約を有していない。同バス
を介しての情報の安全保護は、符号化と日付記入(datin
g)とによって果たされている。

【００２１】第２図は入出力カプラＥ／Ｓを示している
が、これを介して入力データＤＥ・出力データＤＳが転
送される。現実的には、アプリケーション・プロセッサ
Ｐ1、Ｐ2 が、同じ入力を処理できるようにするため
に、入力自体が単一機構から得られることが重要であ
る。これら入力は符号化プロセスを経て符号化されてお
り、バスＢに接続されたデュアル・アクセス・メモリＭ
ＤＡでアプリケーション・プロセッサＰ1 、Ｐ2 に入力
可能となる。カプラ、バス、連続したリンクを含む転送
過程を通じて安全データは符号化により保護される。

【００２２】データが得られると、二つのアプリケーシ
ョン・プロセッサＰ1 、Ｐ2 が所定のタイムラグをもっ
て作動される。各プロセッサはデュアル・アクセス・メ
モリＭＤＡから入力を読み、それを一つ一つ検証する。
検証が済んだ入力は、以後非符号化データで処理され
る。適用業務が終了すると、各プロセッサはその出力を
計算し、結果を準備する。なお、これら出力は符号化プ
ロセスにより符号化される。

【００２３】実際の出力（physical outputting)は、プ
ロセッサＰ1 、Ｐ2 のいづれかにより入出力カプラＥ／
Ｓを介して行われる。他方、各プロセッサにより処理さ
れた処理結果Ｒ1 、Ｒ2 は、第３のプロセッサＰ3 によ
りデュアル・アクセス・メモリＭＤＡにおいて符号化さ
れ日付記入されて処理される。さらに各プロセッサＰ1
、Ｐ2 はそれぞれ自己試験を行い、その結果は、統合
(integrated)されて結果Ｒ1 、Ｒ2 として第３のプロセ
ッサＰ3 に供給される。

【００２４】デュアル・プロセッサのアーキテクチャ
は、主としてマイクロプロセッサＰ1、Ｐ2 に共通のモ
ードがないことで確実性が保証される。比較は出力に基
づいて行われるので、モジュールＰ1 、Ｐ2 の設計の自
由度はそれだけ増す。すなわち、二枚の同じ基板に同一
のソフトを設けることから、ハードの異なった二つのユ
ニットに違った二つのソフトを設けることが可能とな
る。

【００２５】第３のマイクロコンピュータＰ3 はマイク
ロコンピュータＰ1 の処理結果Ｒ1とマイクロコンピュ
ータＰ2 の処理結果Ｒ2 を受信し、符号化プロセッサに
よる符号化されたデータに基づいて適宜の処理を施しな
がら二つづつ比較する。ソフトによる比較機能によって
連続して出力をチェックすることも、または、各出力を
ろ過することも可能である。第３のマイクロコンピュー
タを種々に設計することができるとともに、出力の一部
禁止も可能となる。これら出力が重複されたとき(dupli
cated)再構築が可能となる。さらに、第３のマイクロコ
ンピュータは、デュアル・プロセッサが正しく作動して
いるかを監視する。すなわち、タイムラグと自己検査の
結果とを監視する。

【００２６】第３のマイクロプロセッサＰ3 の比較論理
回路は、デュアル・プロセッサの基板と同じプロセッサ
用電子基板に形成される。比較は、情報の符号化によっ
て行われる。比較操作は第３のマイクロプロセッサＰ3
によって行われ、整合しておれば許可信号(signature)
ＳをダイナミックコントローラＣＤに送ることで検証さ
れる。さらに、この信号Ｓは、時間とともに生成するリ
フレッシュ情報によってダイナミックに保たれる。ダイ
ナミックコントローラＣＤはフエイルセイフベースによ
って設計されており、これは許可信号が正しくリフレッ
シュされたかどうかの検証を行う一方で、許可信号自体
の検証をも行うものである。これにより第３のマイクロ
プロセッサの正常性が保証される。

【００２７】ダイナミックコントローラＣＤは、出力を
バスＢに接続されたモジュールＡを介して転送し、同モ
ジュールＡは、各出力を、第３のマイクロプロセッサに
より供給された情報の関数として転送する。換言すれ
ば、比較結果Ｒ1 、Ｒ2 の間に少しでも不整合がある
と、不整合の出力は禁止または抑制状態(restricted st
ate)に置かれる。必要とあれば冗長性(redundancy)を付
加して利用し易やすくすることができる。

【００２８】

【発明の効果】この発明の利点は、融通性に富み設計の
自由度が大きいこと。製造コストを安くして、しかも安
全性を犠牲にすることはない。

【００２９】図示実施例ではアプリケーション・プロセ
ッサは２台であったが、２台に限定されるものではなく
３台以上でも可能である。第３のプロセッサ（voter)の
ソフトは、なんらハードウエアを追加することなくｐプ
ロセッサからｎプロセッサ用に多くの論理を与えること
ができる。換言すれば、ｐプロセッサからｎプロセッサ
は、検証される安全確認出力信号に対し同じ結果を出さ
なければならない。この場合、第３のプロセッサのソフ
トウエアはアプリケーション・プロセッサのいづれかに
設置することができる。

【図面の簡単な説明】

【図１】は、本発明の安全装置の操作状態を示すブロッ
ク回路図である。

【図２】は、安全装置の機構を略示的に示すブロック図
である。

【符号の説明】

Ｐ1 、Ｐ2 ... 第１、第２のアプリケーション・マイク
ロプロセッサ Ｐ3...第３のマイクロプロセッサ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 エルベ ル ガル フランス国 78470 サン レミー レ シュブルーズ，リュー ポール ロワイヤ ル，109

Claims (7)

【特許請求の範囲】
1. 【請求項１】同じアプリケーションを扱う並列に設けら
   れた少なくとも二台のマイクロプロセッサＰ1 、Ｐ2
   と、センサＣＰと、第３のマイクロプロセッサと、ダイ
   ナミックコントローラＣＤとからなり、前記マイクロプ
   ロセッサの各入力部は、前記センサＣＰから符号化され
   たデータＤＥを受信するとともに、その出力データは個
   々に入力データと比較されて、前記第３のマイクロプロ
   セッサＰ3 により符号化されたマイクロプロセッサの処
   理結果Ｒ1 、Ｒ2 を比較しつつ前記ダイナミックコント
   ローラＣＤを操作して出力データＤＳを自動列車制御装
   置（ＡＣＴ）等のアクチュエータに転送することを特徴
   としたマイクロプロセッサ内蔵の鉄道等の安全装置。
2. 【請求項２】並列されたマイクロプロセッサ間にタイム
   ラグを挿入したことを特徴とした請求項１記載のマイク
   ロプロセッサ内蔵の鉄道等の安全装置。
3. 【請求項３】マイクロプロセッサＰ1 、Ｐ2 、Ｐ3 間で
   情報を転送する単一の非専用のバスを設けたことを特徴
   とした請求項１または２記載のマイクロプロセッサ内蔵
   の鉄道等の安全装置。
4. 【請求項４】第３のマイクロプロセッサＰ3 は、さらに
   異なった出力をろ過し、継続検査を可能にするアルゴリ
   ズムを有する請求項１乃至３記載のマイクロプロセッサ
   内蔵の鉄道等の安全装置。
5. 【請求項５】第３のマイクロプロセッサＰ3 のアルゴリ
   ズムは、処理結果間に不整合があった場合該当出力を禁
   止することのできるものである請求項４記載のマイクロ
   プロセッサ内蔵の鉄道等の安全装置。
6. 【請求項６】アプリケーション・マイクロプロセッサは
   三台以上あり、かつ、第３のマイクロプロセッサＰ3 は
   ｐプロセッサからｎプロセッサへの多数決論理を可能と
   したことを特徴とした請求項１乃至５記載のマイクロプ
   ロセッサ内蔵の鉄道等の安全装置。
7. 【請求項７】第３のマイクロプロセッサＰ3 のソフトウ
   エアは、アプリケーション・マイクロプロセッサのいづ
   れか一つに設置されたことを特徴とした請求項６記載の
   マイクロプロセッサ内蔵の鉄道等の安全装置。