JPH07281916A - ２重系装置 - Google Patents

Abstract

(57)【要約】 【目的】 ２重系装置において、簡単な構成で入力回路
の安全側故障，危険側故障の双方が診断できるようにす
る。 【構成】 各系装置のマイクロプロセッサユニット（Ｍ
ＰＵ）の動作の同期化を行う同期化手段と、前記各系装
置のシステムバス間に設けられ、その各系装置間のデー
タの授受を行う系間インターフェース手段と、前記各系
装置のシステムバスにそれぞれ接続され、それぞれの入
力回路を介して同一のデータを入力する入力手段と、そ
の各入力回路に対して論理値“０”，“１”の照査信号
を交互に出力する照査信号出力手段と、各照査信号出力
時の自系入力回路の論理値と他系入力回路の論理値から
誤っている入力回路を判定する入力回路故障判定手段と
からなる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、装置の信頼性を高める
ために設けられる、例えば電子連動装置等の２重系装置
に係り、特に、入力回路及び出力回路の故障検出ができ
るようにしたものに関する。

【０００２】

【従来の技術】従来から列車制御の分野では、装置の信
頼性を高めるために、装置を２重系にすることが一般的
に行われている。

【０００３】従来の２重系の信号保安装置について説明
すると、主系装置（以下、主系という）と従系装置（以
下、従系という）は、完全独立状態に設けられていて、
各系ともデータ入力及び論理判断は独自に平行して行う
が、他装置、例えば信号機に対しては、主系のみの出力
によって制御するように構成されている。

【０００４】主系の論理判断結果は、系間インターフェ
ースを介して従系に送られて従系の論理判断結果との一
致が図られ、従系は待機状態に保たれる。そして、主系
側に故障が発生したときは、従系が主系に代って他装置
を制御するように構成されている。

【０００５】ところで、各系のマイクロプロセッサ（以
下、ＭＰＵ）が所定のプログラムに従って演算処理して
論理判断を行うためには、入力ボードを介して入力した
データが正しくなければ正確な論理判断を行うことがで
きない。また、正確な論理判断が行われても出力ボード
の出力回路が故障していると、正確な出力信号が出力さ
れない事態となる。

【０００６】もし、誤ったデータに基づいて論理判断を
行った場合、又は、誤った出力がなされた場合には、危
険な状態が起こる可能性がある。このため、信号保安装
置のように安全性の要求される装置は、その装置構成が
１重系又は２重系のいずれの場合も、入，出力回路の自
己診断が行われている。

【０００７】上述の自己診断としては、例えば図１０に
示されるように、軌道リレーＴＲが付勢されているとき
に、そのリレー接点がＮ側に投入され、付勢されていな
いときにＲ側に戻る場合、Ｎ側の出力線及びＲ側の出力
線の信号の有無をチェックして行われる。

【０００８】すなわち、図１０において、リレー接点が
Ｎ側に投入されていればＮ＝論理値“１”（以下、論理
値を省略する），Ｒ＝“０”、リレー接点がＲ側に戻っ
ていればＮ＝“０”，Ｒ＝“１”、リレー接点がＮ側と
Ｒ側の中間にある過渡状態ではＮ＝“０”，Ｒ＝“０”
なる信号になる。したがって、Ｎ側，Ｒ側の出力線にＮ
＝“１”，Ｒ＝“１”なる信号が同時に生じていたとす
れば、Ｎ側又はＲ側の入力回路が故障していると判定す
ることができる。

【０００９】図１１は、さらに他の自己診断を示すもの
であって、照査パルス方式の自己診断回路が示されてい
る。

【００１０】この照査パルス方式の自己診断回路は、照
査信号供給用のホトカプラＰＣ0 に“０”の照査信号を
与えたときにホトカプラＰＣ1 からは“０”の検出信号
が得られ、ＰＣ0 に“１”の照査信号を与えたときは接
点ＴＲの状態に応じて、つまりＮ接点が構成時（列車な
しを意味する）はホトカプラＰＣ1 からは“１”の信号
を、Ｎ接点が構成されていないとき（列車ありを意味す
る）は“０”が得られるように構成されている。

【００１１】ホトカプラＰＣ1 からの検出信号“１”は
列車なしを意味することから、検出信号が“１”となる
故障は検出されなければならない。そのため、この照査
パルス方式の入力では、照査信号“０”を出力して、そ
の検出信号が“０”であることを確認（検出信号を
“１”とする故障が発生していないことを確認）した
後、照査信号“１”を出力して軌道リレーＴＲの状態を
得ることになる。

【００１２】

【発明が解決しようとする課題】しかしながら、上記図
１０に示されるようなリレー接点の入力情報を用いた自
己診断の場合、１つの情報につきＮ接点とＲ接点と相反
する条件を入力する必要があるため、入力点数が多くな
り、ハード構成が大掛かりになる欠点がある。

【００１３】また、上記図１１に示されるような照査パ
ルス方式の自己診断の場合は、安全側の故障（例えば、
列車が存在していないにもかかわらず、列車が存在して
いると判断し、他の列車を進入させないような故障。な
お、危険側の故障とは、列車が存在しているにもかかわ
らず、列車がいないと判断して、他の列車の進入を許す
ような故障をいう。）が診断できないという欠点があ
る。

【００１４】上記図１１を用いて、さらに説明すると、
ホトカプラＰＣ0 に照査信号“０”を与えたときにホト
カプラＰＣ1 の検出信号“１”が得られた場合、故障発
生と判断できるが、照査信号“０”のときにホトカプラ
ＰＣ1 の検出信号“０”が得られた場合は正常と判断し
てしまう。例えばＰＣ1 のホトトランジスタ側がオープ
ン故障した場合を考えると、照査信号“０”で検出信号
は“０”を、また照査信号“１”で検出信号は“０”と
なることから、回路正常時の“列車あり”と同じ結果と
なる。なお、この故障が発生している状態では“列車あ
り”となることから、危険側に作用することはないが、
装置を２重系に構成する場合、安全側故障であっても故
障を確実に検出し、故障箇所を装置から切離しできなけ
れば、その故障が装置に影響を与えるため、２重系に構
成する意味がなくなってしまう。

【００１５】このように、上記照査信号方式の自己診断
においては、安全側故障を検出できない欠点があった。
装置を１重系に構成する場合、この安全側故障は放置さ
れても問題とはならないが、２重系に構成する場合、上
記理由から、安全側故障をも検出する必要がある。その
ためには、図１０と同様、Ｎ接点とＲ接点を入力しなけ
ればならず、２重系構成では１重系構成に比べて４倍の
入力回路となってしまう。

【００１６】そこで、本発明は、上記欠点を解決するた
めになされたものであって、その目的は、２重系の入，
出力回路を簡単な構成（上記図１０のようなＮ接点とＲ
接点ともに入力するのでなくＮ接点のみを入力する）
で、しかも安全側の故障をも適確に検出することのでき
る２重系装置を提供することにある。

【００１７】

【課題を解決するための手段】本発明に係る２重系装置
は、上記目的を達成するために、主系及び従系にそれぞ
れ共通の所定のプログラムで動作するＭＰＵを備えた２
重系装置において、前記各系のＭＰＵの動作の同期化を
行う同期化手段と、前記各系のシステムバス間に設けら
れ、その各系間のデータの授受を行う系間インターフェ
ース手段と、前記各系のシステムバスにそれぞれ接続さ
れ、それぞれの入力回路を介して同一のデータを入力す
る入力手段と、前記各入力回路に対して“０”，“１”
の照査信号を交互に出力する照査信号出力手段と、各照
査信号出力時の自系入力回路の論理値と他系入力回路の
論理値から誤っている入力回路を判定する入力回路故障
判定手段とを有することを特徴としている。

【００１８】また、主系及び従系にそれぞれ共通の所定
のプログラムで動作するＭＰＵを備えた２重系装置にお
いて、前記各系のＭＰＵの動作の同期化を行う同期化手
段と、前記各系のシステムバス間に設けられ、その各系
間のデータの授受を行う系間インターフェース手段と、
前記各系のシステムバスにそれぞれ接続され、かつそれ
ぞれの出力回路の出力側が他装置とワイヤードオアに接
続された出力手段と、前記各出力回路のそれぞれの出力
状態を検知するセンサと、他装置への駆動出力が行われ
ているときに、前記いずれか一方の出力回路の出力をソ
フトウェアカウンタ（ソフトカウンタ）を用いて交互に
所定時間停止させる停止手段と、その停止手段が停止し
ている出力回路に係る前記センサの出力データが“１”
のときに、又はその停止手段の停止していない出力回路
に係るそのセンサの出力データが“０”のときに、その
出力回路に故障が発生したと診断する出力回路診断手段
とを有することを特徴としている。

【００１９】そして、前記出力回路診断手段は、前記他
装置への駆動出力が行われていないときに、所定時間毎
に検出したセンサの出力データが“１”のとき、又はソ
フトカウンタを用いていずれか一方の出力回路のみに駆
動出力を与えそのセンサの出力データが“０”のとき、
そのセンサに係る出力回路に故障が発生したと診断する
ことを特徴としている。

【００２０】

【作用】上記構成において、入力回路故障判定手段は、
各入力回路に対して“０”，“１”の照査信号を交互に
出力するときの自系入力回路の論理値と他系入力回路の
論理値から誤っている入力回路を判定する。

【００２１】また、上記構成において、出力回路診断手
段は、停止手段が停止している出力回路に係るセンサの
出力データが“１”のときに、又はその停止手段の停止
していない出力回路に係るそのセンサの出力データが
“０”のときに、その出力回路に故障が発生したと診断
する。そして、その出力回路診断手段は、他装置への駆
動出力が行われていないときに、所定時間毎に検出した
センサの出力データが“１”のとき、又はソフトカウン
タを用いていずれか一方の出力回路のみに駆動出力を与
えそのセンサの出力データが“０”のとき、そのセンサ
に係る出力回路に故障が発生したと診断する。

【００２２】

【実施例】以下、本発明の実施例を図面に基づいて説明
する。図１は、鉄道用の信号機を駆動制御する負荷リレ
ーＲを他装置とするときの一実施例装置の概略構成を示
すブロック図であって、入力信号として軌道回路（図示
せず）の軌道リレーＴＲの接点信号が用いられている。
また、負荷リレーＲを駆動するための出力ラインには、
各系の出力を切離すための切離リレーＣＴａ，ＣＴｂの
接点がそれぞれ設けられている。

【００２３】主系ａ及び従系ｂは、それぞれシステムバ
スＢａ，Ｂｂに複数のＣＰＵを含んで構成されているＭ
ＰＵボードＭａ，Ｍｂ、入力ボードＥａ，Ｅｂ及び出力
ボードＯａ，Ｏｂを接続して構成されている。そして、
両システムバスＢａ，Ｂｂは系間インターフェースｉ
ａ，ｉｂで接続されていて、互いにデータ授受が行われ
るように構成されている。なお、主系ａ又は従系ｂは説
明の都合上、ａ系又はｂ系のように説明するときもあ
る。

【００２４】各入力ボードＥａ，Ｅｂには、軌道リレー
ＴＲの接点信号を入力する入力回路ＴＲ'a，ＴＲ'bがそ
れぞれ含まれているとともに、各出力ボードＯａ，Ｏｂ
には、スイッチ素子Ｓａ，Ｓｂ及び電流計からなるセン
サＡａ，Ａｂを含んで形成される出力回路Ｏａ′，Ｏ
ｂ′がそれぞれ設けられている。なお、他装置としての
負荷リレーＲは、ワイヤードオアで各出力ボードＯａ，
Ｏｂと接続されているので、従来の２重系のように系切
替時に瞬間遮断を起こすおそれがない特長がある。

【００２５】図１中、ａ′，ｂ′は、両ＭＰＵボードＭ
ａ，Ｍｂを接続する信号線であって、両ＭＰＵの同期化
を図るための後述するステータス信号を送受信する際に
用いられる。

【００２６】なお、本発明では、主系，従系の表現を用
いているが、本発明の各系は従来の２重系のように主従
の関係はなく、後述するように、他装置（信号機）を各
系が同列で制御するようにしている。したがって、本発
明における主系，従系は、説明の便宜のために用いられ
ている。

【００２７】また、図１中には、入，出力ボードＥａ，
Ｅｂ、Ｏａ，Ｏｂは各システムバスＢ1 ，Ｂ2 にそれぞ
れ１個しか接続されていないが、これは図面を簡略化す
るためであって、各ボードは複数個接続されていてもよ
いことはもちろんであり、さらに入出力ボードが接続さ
れていてもよい。

【００２８】図２は、各ＭＰＵボードＭａ，Ｍｂの詳細
ブロック図であって、両ボードＭａ，Ｍｂは、それぞれ
水晶発振子から構成される基本クロック１ａ，１ｂで駆
動されるＭＰＵ２ａ，２ｂを有している。なお、各ＭＰ
Ｕ２ａ，２ｂは、図示しないインターフェースを介して
各システムバスＢａ，Ｂｂにそれぞれ接続されている。

【００２９】各ＭＰＵボードＭａ，Ｍｂは、それぞれ所
定の一定時間毎に所定時間のステータス信号を発生させ
る定周期タイマ３ａ，３ｂと、そのステータス信号を他
系へ出力するための出力バッファ６ａ，６ｂ及び他系か
らステータス信号を入力するための入力バッファ７ａ，
７ｂと、定周期タイマ３ａ，３ｂを監視するための基本
クロック４ａ′，４ｂ′をそれぞれ有する監視タイマ４
ａ，４ｂとを有している。なお、上記ステータス信号は
デュティ５０％の信号で、その立ち上がり変化時、ＭＰ
ＵボードＭａ，Ｍｂに定周期タイマ割込を発生させるよ
うに構成されている。

【００３０】各ＭＰＵボードＭａ，Ｍｂにそれぞれ設け
られたカウンタ５ａ，５ｂは、自系（ここでは主系ａを
自系としている。なお、以後の（）は従系ｂを自系とし
たときを示している。）の定周期タイマ３ａ（３ｂ）の
出力信号（ステータス信号（図２の（）参照））
と、他系の定周期タイマ３ｂ（３ａ）の出力信号（ステ
ータス信号（図２の（）参照））を出力バッファ６
ｂ（６ａ）を介して入力とするアンド回路８ａ（８ｂ）
の出力信号とで駆動されるように構成されている。ま
た、各カウンタ５ａ，５ｂは、自系のＭＰＵ２ａ（２
ｂ）からカウント値の書込み又は読出しができるように
構成されている。

【００３１】次に、図３のフローチャート及び図４のタ
イムチャートを用いて同期化制御動作について説明す
る。

【００３２】今、図示しない２重系装置の電源がＯＮさ
れ、入，出力・内部補助リレー等がクリアされ、また全
タイマがプリセットされるなどの所定のイニシャル処理
がなされて、２重系が立ち上げられて稼動しているもの
とする（図３のステップ１００。以下、ステップをＳと
する。）。この稼動に際して、従系ｂは、主系ａのステ
ータス信号のＬ（ロー）からＨ（ハイ）に変化したこと
を以て、主系ａは、自系が主系に選択されたことを以
て、定周期タイマ３ａ，３ｂ、監視タイマ４ａ，４ｂ、
カウンタ５ａ，５ｂが設定される（図３のＳ１０２、Ｓ
１０４、Ｓ１０６。図４の（イ）参照。）。したがっ
て、この時点においては、両系ａ，ｂは完全周期が図ら
れている。

【００３３】運転を継続していると、両系ａ，ｂの基本
クロック１ａ，１ｂの誤差から、各系ａ，ｂの定周期タ
イマ３ａ，３ｂからのステータス信号の同期状態にズレ
が生じてくる。例えば、基本クロック１ａ，１ｂが１０
ＭＨｚの場合、通常、１００Ｈｚ程度の誤差があるの
で、上述のズレが発生する。なお、このズレは数１００
μｓ程度であれば装置運転上問題がないので許容される
（図４のｔ0 参照）。

【００３４】このズレが大きくなると、系ａ，ｂの同期
状態が失われるので、このズレが例えば１００μｓ以上
になったときに、従系ｂの定周期タイマ３ｂ及び監視タ
イマ４ｂを主系ａの定周期タイマ３ａ及び監視タイマ４
ａに一致させる同期化処理が行われる。

【００３５】以下、この同期化処理について説明する。

【００３６】２重系ａ，ｂが運転を継続しているとき、
従系ｂのカウンタ５ｂは、自系（従系ｂ）の定周期タイ
マ３ｂからのステータス信号（図２の参照）と他系
（主系ａ）からのステータス信号（図２の参照）が共
にＨのときカウントを行う。したがって、２つの系のス
テータス信号が完全に一致しているとき、カウント値Ｎ
は、Ｎ＝１／２×Ｔ（Ｔ：１周期の時間）となる。ま
た、２つのステータス信号にズレが生じた場合、カウン
ト値Ｎは、Ｎ＝１／２×（Ｔ−ｔ1 ）（ｔ1 ：ズレの時
間）となる。ここで２つのステータス信号のズレの許容
時間をｔ0 とすれば、今、カウント値Ｎが、Ｎ＝１／２
×（Ｔ−ｔ1 ）≧（１／２）×Ｔ−ｔ0 なら、ズレが許
容時間内であるため、従系は自系の定周期タイマ３ｂ及
び監視タイマ４ｂの再設定は行わず、そのまま運転が継
続される（図３のＳ１１０、Ｓ１１２肯定、Ｓ１１４肯
定、Ｓ１２０。図４の（ロ）参照。）。

【００３７】ところが、カウンタ５ｂのカウント値がＮ
＝１／２×（Ｔ−ｔ1 ）＜１／２×（Ｔ−ｔ0 ）となっ
たとき（Ｓ１１４否定。図４の（ハ）参照。）は、許容
時間を越えたズレが生じたことを意味するので、主系ａ
の定周期タイマ３ａのステータス信号（図２の参照）
がＨからＬに変化したことを以て、従系は自系の定周期
タイマ３ｂ及び監視タイマ４ｂの再設定を行う。その結
果、両系ａ，ｂの定周期タイマ割込の同期化が行われる
（図３のＳ１１６、Ｓ１１８。図４の（ニ）参照。）。

【００３８】以上にように、本実施例装置は、両系ａ，
ｂのステータス信号に所定以上のズレが生じたときに、
従系ｂの定周期タイマ３ｂ及び監視タイマ４ｂを主系ａ
の定周期タイマ３ａ及び監視タイマ４ａに合わせるよう
にしたので、両系ａ，ｂは、常時、同期状態を維持する
ことが可能となる。

【００３９】次に、図５のタイムチャート及び図６のフ
ローチャートを用いて本実施例装置の入力回路ＴＲ'a，
ＴＲ'bの制御動作を説明する。外部条件の入力処理は定
周期割込で起動される。この定周期割込は、上記同期化
手段によって同期化されるため、２つの系ａ，ｂは同時
に入力処理が起動される。したがって、照査信号、読取
タイミング信号は両系同時に出力される（図５（ｃ），
（ｄ））。また、各系が照査出力“０”と“１”で読取
られたデータ（Ｓ２００、Ｓ３００）は、系間インター
フェースｉａ，ｉｂを介して相互に交換される（Ｓ２０
２〜Ｓ２０６、Ｓ３０２〜Ｓ３０６）。入力回路の制御
動作は、１周期内に照査信号が“０”のときの入力回路
の危険側故障診断（診断モード）と、照査信号が“１”
のときの外部条件入力（入力モード）とを一対として定
周期に行われる（図５（ｃ），（ｄ）参照）。

【００４０】入力制御動作は、入力回路ＴＲ'a，ＴＲ'b
に対して、図５（ｃ）に示されるような、“０”，
“１”と交互に変化する照査信号が両ＭＰＵボードＭ
ａ，Ｍｂから送出される。照査信号は、軌道リレーＴＲ
のＯＮ（動作）又はＯＦＦ（復旧）時に少なくとも１回
以上“０”，“１”が実施できるよう入力処理周期が決
定される（図４（ａ），（ｂ）参照）。なお、軌道リレ
ーＴＲのＯＮは、その軌道リレーＴＲに係るレール上に
“列車なし”を意味し、軌道リレーＴＲのＯＦＦは、そ
のレール上に“列車あり”を意味している。

【００４１】各入力回路ＴＲ'a，ＴＲ'bに照査信号が送
出されたときの入力回路ＴＲ'a，ＴＲ'bからの出力信号
は、再び両ＭＰＵボードＭａ，Ｍｂに読取られる。ＭＰ
ＵボードＭａ，Ｍｂは、その出力信号を読取った後、図
５（ｄ）に示されるように、反転した照査信号を出力し
て次の読取りに備える。各ＭＰＵボードＭａ，Ｍｂは、
自系の入力回路（ＭａならＴＲ'a、ＭｂならＴＲ'b）か
ら読取ったデータから列車の有無及び入力回路の故障判
定が行われる（Ｓ２０６、Ｓ３０６）。

【００４２】次に、列車の有無及び入力の故障判定につ
いて、ここでは主系ａに故障が発生した場合について説
明する。

【００４３】図５のは、“列車なし”のとき、両系
ａ，ｂの入力回路ＴＲ'a，ＴＲ'bがともに正常なケース
であり、図５のは、“列車あり”のとき、両系ａ，ｂ
の入力回路ＴＲ'a，ＴＲ'bがともに正常なケースであ
る。このときは、両系ａ，ｂの入力回路ＴＲ'a，ＴＲ'b
からの読取データは、照査モード及び入力モードでとも
に一致しているので、図５のでは、“列車なしで自系
入力回路ＴＲ'a，ＴＲ'b正常”と判定する。図５ので
は、“列車ありで入力回路ＴＲ'a，ＴＲ'b正常”と判定
する。

【００４４】図５のは、“列車なし”のとき、主系ａ
に安全側の故障が発生したケースである。この場合、主
系ａでは入力モードでデータ“０”となり、２つの系の
入力回路ＴＲ'a，ＴＲ'bからの読取データに不一致が生
じる。このときは、自系の読取データが（照査モード、
入力モード）＝（０、０）で、他系の読取データが（照
査モード、入力モード）＝（０、１）なら、“列車なし
で自系入力回路ＴＲ'a安全側故障”と判定する。また、
自系の読取データが（照査モード、入力モード）＝
（０、１）で、他系の読取データが（照査モード、入力
モード）＝（０、０）なら、“列車なしで他系入力回路
ＴＲ'b安全側故障”と判定する。その判定理由は、とも
に照査モードでデータが“０”であることから、入力回
路に危険側故障がないことが保障されるからである。

【００４５】図５のは、“列車なし”のとき、主系ａ
に危険側の故障が発生したケースであり、図５のは、
“列車あり”のとき、主系ａに危険側の故障が発生した
ケースである。照査モードでは、回路構成上、データ
“０”でなければならないにもかかわらず、“１”であ
ることから、入力回路に危険側故障が発生していること
を意味する。したがって、図５のでは、主系ａは従系
ｂの入力データを採用し、“列車なしで自系入力回路Ｔ
Ｒ'a危険側故障”と判定する。また、従系ｂは、“列車
なしで自系入力回路ＴＲ'b正常”と判定する。図５の
では、主系ａは従系ｂの入力データを採用し、“列車あ
りで自系入力回路ＴＲ'b危険側故障”と判定する。ま
た、従系ｂは、“列車ありで自系入力回路ＴＲ'b正常”
と判定する。

【００４６】このように、故障が発見された入力ボード
Ｅａ（又はＥｂ）は、系から外され、正常な入力ボード
Ｅｂ（又はＥａ）によって運転が継続される。そして、
この故障発生の旨が係員に通知される。上述の説明は、
主系ａに故障が発生した場合であるが、従系ｂに故障が
発生した場合も同様に判定される。すなわち、図５の
（ｅ）と（ｆ）を置換えた場合がこれに相当する。

【００４７】以上のように、入力回路ＴＲ'a，ＴＲ'bの
故障検出は、両ＭＰＵボードＭａ，Ｍｂが同期して運転
され、さらに両系ａ，ｂが結合されているので、それぞ
れが、例えば軌道リレーＴＲ入力の場合、動作接点を入
力するだけで、危険側の故障だけでなく、安全側の故障
をも検出することができる。このことは、従来、安全側
の故障を検出するため、動作接点と復旧接点を入力して
いたのに比べ、入力回路を半分にすることができる。

【００４８】次に、図７のタイムチャートを用いて出力
回路Ｏａ′，Ｏｂ′の自己診断動作について説明する。

【００４９】出力回路Ｏａ′，Ｏｂ′の自己診断につい
て説明する前に、出力回路Ｏａ′，Ｏｂ′の負荷リレー
Ｒの駆動制御について説明すると、両出力回路Ｏａ′，
Ｏｂ′は、同期化処理されている両ＭＰＵボードＭａ，
Ｍｂによって負荷リレーＲを同時にＯＮ又はＯＦＦする
ように制御される。

【００５０】ところで、負荷リレーＲをＯＮ制御する場
合について考察してみると、いずれか一方の系ａ（又は
系ｂ）の出力回路Ｏａ′（又はＯｂ′）がオープン故障
していても、他方の系ｂ（又は系ａ）の出力回路Ｏｂ′
によって負荷リレーＲがＯＮされるため、負荷リレーＲ
のＯＮ，ＯＦＦを検出するだけでは、両出力回路Ｏ
ａ′，Ｏｂ′の故障を検出することができない。また、
スイッチ素子Ｓａ，Ｓｂの特性のバラツキや、わずかな
ＯＮ制御タイミングのズレによって、両出力回路Ｏ
ａ′，Ｏｂ′を流れる電流が１：１になることは必ずし
も期待できず、一方の入力回路Ｏａ′（又はＯｂ′）が
多くの負荷電流を背負ってしまい、他方の出力回路Ｏ
ｂ′（又はＯａ′）には、わずかな電流しか流れないこ
とが発生する。したがって、わずかな電流しか流れない
出力回路の方は、オープン故障と誤検知されてしまう可
能性がある。

【００５１】そこで、本実施例装置においては、図７に
示されるように、負荷リレーＲがＯＮ制御時は、一方の
出力回路Ｏｂ′（又はＯａ′）を強制的にＯＦＦ状態に
保ち、この状態で各出力回路Ｏａ′，Ｏｂ′の状態を監
視することにより診断するようにしている。負荷リレー
ＲのＯＮ制御時に強制的にＯＦＦするタイミングは、両
ＭＰＵボードＭａ，Ｍｂに設けられた図示しないソフト
カウンタ値によって決められる。ソフトカウンタは、両
系ａ，ｂの同期した定周期タイマ割込にて更新され、例
えば０から７のサイクリックカウンタで構成される。

【００５２】すなわち、両系の出力回路Ｏａ′，Ｏｂ′
がともにＯＦＦとならないタイミングで、例えば主系ａ
はソフトカウンタが１のときに、従系ｂはソフトカウン
タが５のときに強制的にＯＦＦとなるように制御される
（図７（ｄ），（ｅ）参照）。そして、いずれか一方の
出力回路Ｏａ′（又はＯｂ′）がＯＦＦの時に、各出力
回路Ｏａ′，Ｏｂ′のセンサＡａ，Ａｂの状態を読取っ
て、つまり、負荷リレーＲの駆動電流が流れているとき
は“１”、その電流が流れていないときは“０”を検出
して出力回路Ｏａ′，Ｏｂ′の自己診断が行われる。ま
た、強制的にＯＦＦした状態は、センサＡａ，Ａｂの出
力を読出した後、直ちに正規な状態に戻す制御が行われ
る。

【００５３】負荷リレーＲのＯＮ制御時、出力回路Ｏ
ａ′，Ｏｂ′及びセンサＡａ，Ａｂがすべて正常である
ときは、強制的にＯＦＦした出力回路Ｏａ′（又はＯ
ｂ′）のセンサＡａ（又はＡｂ）の出力データは“０”
に、また、一方のセンサＡｂ（又はＡａ）の出力は
“１”となるはずである（図８の参照）。

【００５４】これに対し、出力回路Ｏａ′のスイッチ素
子Ｓａがオープン故障しているときは、ソフトカウンタ
値が５のときセンサ出力が“０”となり（図８の参
照）、また、センサＡａの出力が“０”側に故障してい
るときもセンサ出力が“０”となり（図８の参照）、
故障を検出することができる。そして、センサＡａの出
力が“１”に故障した場合、ソフトカウンタ値が１でセ
ンサＡａの出力が“１”となることから検出することが
できる（図８の参照）。また、出力回路Ｏａ′のスイ
ッチ素子Ｓａがショート故障の場合、出力回路Ｏａ′と
Ｏｂ′がともにＯＮとなることから、２つのセンサＡ
ａ，Ａｂの出力は（１、０）、（０、１）、（１、１）
の３つの組合わせのいずれかが現れる。このうち組合わ
せ（１、０）と（１、１）は、直ちに故障と判定できる
が、（０、１）は正常時と同じ結果のため故障と判定で
きず、後述する負荷リレーＲのＯＦＦ時の診断で検出す
ることになる。

【００５５】次に、負荷リレーＲのＯＦＦ制御時の出力
回路Ｏａ′とＯｂ′の自己診断について説明する。

【００５６】図７（ａ）に示されるように、負荷リレー
ＲがＯＦＦ制御時は、所定時間毎にセンサＡａ，Ａｂの
出力データを読出し、いずれかのセンサＡａ（又はＡ
ｂ）が“１”を示すときは、そのセンサＡａ（又はＡ
ｂ）に係わる出力回路Ｏａ′のスイッチ素子Ｓａ（又は
Ｏｂ′のスイッチ素子Ｓｂ）にショート故障、又はセン
サＡａ（又はＡｂ）に出力を“１”とする故障が発生し
たと判定する。なお、前記のＯＮ制御時にスイッチ素子
Ｓａがショート故障を起こしているにもかかわらず、セ
ンサＡａ，Ａｂの出力が（０、１）となるときでも、負
荷リレーＲの制御をＯＮからＯＦＦに切替えたとき検出
することができる（図９の参照）。

【００５７】また、負荷リレーＲのＯＦＦ制御時、ａ系
ではソフトカウンタが３のとき、ｂ系ではソフトカウン
タが７のとき、診断のためのＯＮ制御を行い、そのとき
のセンサＡａ（又はＡｂ）の出力から、センサ出力が
“１”とならなければセンサ又は出力回路故障と診断す
る。なお、このときのＯＮ制御時間は、負荷リレーＲが
ＯＮしない短い時間であり、センサ出力を読出した後、
診断のためのＯＮ制御は直ちにＯＦＦ制御に戻される。

【００５８】いずれかの出力回路Ｏａ′（又はＯｂ′）
が故障を起こしたときは、その出力回路Ｏａ′（又はＯ
ｂ′）は切離リレーＣＴａ（又はＣＴｂ）を復旧させ、
系から外され、残りの正常な出力回路Ｏｂ′（又はＯ
ａ′）を用いて運転が継続されるとともに、その故障の
旨が係員に報知される。

【００５９】

【発明の効果】本発明に係る２重系装置は、各系のＭＰ
Ｕの動作の同期化を行う同期化手段と、前記各系のシス
テムバス間に設けられ、その各系間のデータの授受を行
う系間インターフェース手段と、前記各系のシステムバ
スにそれぞれ接続され、それぞれの入力回路を介して同
一のデータを入力する入力手段と、前記各入力回路に対
して“０”，“１”の照査信号を交互に出力する照査信
号出力手段と、各照査信号出力時の自系入力回路の論理
値と他系入力回路の論理値から誤っている入力回路を判
定する入力回路故障判定手段とからなるので、従来のよ
うにＮ接点とＲ接点を入力しなくとも入力回路の故障を
確実に検出することができる。

【００６０】また、本発明に係る２重系装置は、各系の
ＭＰＵの動作の同期化を行う同期化手段と、前記各系の
システムバス間に設けられ、その各系間のデータの授受
を行う系間インターフェース手段と、前記各系のシステ
ムバスにそれぞれ接続され、かつそれぞれの出力回路の
出力側が他装置とワイヤードオアに接続された出力手段
と、前記各出力回路のそれぞれの出力状態を検知するセ
ンサと、他装置への駆動出力が行われているときに、前
記いずれか一方の出力回路の出力を交互に所定時間停止
させる停止手段と、その停止手段が停止している出力回
路に係る前記センサの出力データが“１”のときに、又
はその停止手段の停止していない出力回路に係るそのセ
ンサの出力データが“０”のときに、その出力回路に故
障が発生したと診断する出力回路診断手段とからなるの
で、出力回路側がワイヤードオア結合されていて出力中
であっても、各出力回路の故障を確実に検出することが
できる。

【００６１】また、前記出力回路診断手段は、前記他装
置への駆動出力が行われていないとき、所定時間毎に検
出したセンサの出力データが“１”のときに、そのセン
サに係る出力回路に故障が発生したと診断するようにし
たときは、出力回路が出力していないときでも、各出力
回路の故障を確実に検出することができる。

【図面の簡単な説明】

【図１】本発明の一実施例装置の概略構成を示すブロッ
ク図である。

【図２】ＭＰＵボードの詳細を示すブロック図である。

【図３】同期化制御動作を示すフローチャートである。

【図４】同期化制御動作を示すタイムチャートである。

【図５】入力回路の故障診断動作を説明するためのタイ
ムチャートである。

【図６】入力回路の入力処理手段を示すフローチャート
である。

【図７】出力回路の故障診断動作を説明するためのタイ
ムチャートである。

【図８】出力回路の故障診断動作を説明するためのタイ
ムチャートである。

【図９】出力回路の故障診断動作を説明するためのタイ
ムチャートである。

【図１０】従来の診断回路の説明図である。

【図１１】従来の他の診断回路の説明図である。

【符号の説明】

ａ 主系装置（主系） ｂ 従系装置（従系） Ｍａ，Ｍｂ ＭＰＵボード Ｂａ，Ｂｂ システムバス Ｅａ，Ｅｂ 入力ボード Ｏａ，Ｏｂ 出力ボード Ｏａ′，Ｏｂ′ 出力回路 ＴＲ 軌道回路リレー ＣＴａ，ＣＴｂ 切離リレー ＴＲ'a，ＴＲ'b 入力回路 Ｓａ，Ｓｂ スイッチ素子 Ａａ，Ａｂ センサ １ａ，１ｂ 基本クロック ２ａ，２ｂ ＭＰＵ（マイクロプロセッサユニッ
ト） ３ａ，３ｂ 定周期タイマ ４ａ，４ｂ 監視タイマ ５ａ，５ｂ カウンタ

Claims (3)

【特許請求の範囲】
1. 【請求項１】 主系装置及び従系装置にそれぞれ共通の
   所定のプログラムで動作するマイクロプロセッサユニッ
   トを備えた２重系装置において、 前記各系装置のマイクロプロセッサユニットの動作の同
   期化を行う同期化手段と、 前記各系装置のシステムバス間に設けられ、その各系装
   置間のデータの授受を行う系間インターフェース手段
   と、 前記各系装置のシステムバスにそれぞれ接続され、それ
   ぞれの入力回路を介して同一のデータを入力する入力手
   段と、 前記各入力回路に対して論理値“０”，“１”の照査信
   号を交互に出力する照査信号出力手段と、 各照査信号出力時の自系入力回路の論理値と他系入力回
   路の論理値から誤っている入力回路を判定する入力回路
   故障判定手段と、を有することを特徴とする２重系装
   置。
2. 【請求項２】 主系装置及び従系装置にそれぞれ共通の
   所定のプログラムで動作するマイクロプロセッサユニッ
   トを備えた２重系装置において、 前記各系装置のマイクロプロセッサユニットの動作の同
   期化を行う同期化手段と、 前記各系装置のシステムバス間に設けられ、その各系装
   置間のデータの授受を行う系間インターフェース手段
   と、 前記各系装置のシステムバスにそれぞれ接続され、かつ
   それぞれの出力回路の出力側が他装置とワイヤードオア
   に接続された出力手段と、 前記各出力回路のそれぞれの出力状態を検知するセンサ
   と、 前記他装置への駆動出力が行われているときに、前記い
   ずれか一方の出力回路の出力をソフトウェアカウンタを
   用いて交互に所定時間停止させる停止手段と、 前記停止手段が停止している出力回路に係る前記センサ
   の出力データが論理値“１”のときに、又はその停止手
   段の停止していない出力回路に係るそのセンサの出力デ
   ータが論理値“０”のときに、その出力回路に故障が発
   生したと診断する出力回路診断手段と、 を有することを特徴とする２重系装置。
3. 【請求項３】 出力回路診断手段は、他装置への駆動出
   力が行われていないときに、所定時間毎に検出したセン
   サの出力データが論理値“１”のとき、又はソフトウェ
   アカウンタを用いていずれか一方の出力回路のみに駆動
   出力を与えそのセンサの出力データが論理値“０”のと
   き、そのセンサに係る出力回路に故障が発生したと診断
   することを特徴とする請求項２記載の２重系装置。