JP2000255431A - 鉄道用保安制御装置及び保安制御システム - Google Patents

Abstract

(57)【要約】 【課題】 簡単な構成によって、フェイルセーフ性を向
上させること。 【解決手段】 入力ユニット８Ａ，８Ｂは、それぞれ現
場機器からの入力信号をコントローラ１Ａ，１Ｂに出力
する。コントローラ１Ａ，１Ｂはこの信号の入力に基づ
き演算を行い制御信号を出力ユニット９Ａ，９Ｂを介し
て現場機器に出力する。コントローラ１Ａ，１Ｂは、入
力処理、演算処理、及び出力処理を行うに際して、共有
メモリ１６Ａ，１６Ｂを通して互いに自系と他系との照
合を行い、データが一致しない場合は故障であるとして
走行を停止する。ヘルシー回路１０Ａ，１０Ｂは自系が
健全であることを示す信号を出力する回路であり、一方
が異常を示す信号を出力すると出力ユニット９Ａ，９Ｂ
から信号が出力されない。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、鉄道用保安制御装
置及び保安制御システムに関するものである。

【０００２】

【従来の技術】一般に、鉄道用列車の制御装置に対して
は、万一故障が発生したとしても、その装置は常に安全
側の状態となるようにして、危険側の状態になるのを回
避できるような機能が要求されており、このような機能
をフェイルセーフ機能と呼んでいる。例えば、信号制御
装置においては、安全側の故障状態とは、列車の進行を
許可する信号（青信号）を出力すべきであるにもかかわ
らず、列車の進行を禁止する信号（赤信号）が誤って出
力されているような状態であり、一方、危険側の故障状
態とは、列車の進行を禁止する信号（赤信号）を出力す
べきであるにもかかわらず、列車の進行を許可する信号
（青信号）が誤って出力されているような状態である。
また、踏切制御装置においては、安全側の故障状態と
は、遮断機を上げる信号を出力すべきであるにもかかわ
らず、遮断機を下ろす信号が誤って出力されているよう
な状態であり、一方、危険側の故障状態とは、遮断機を
下げる信号を出力すべきであるにもかかわらず、遮断機
を上げる信号が誤って出力されているような状態であ
る。

【０００３】図１９は、このようなフェイルセーフ機能
が要求されている従来の鉄道用保安制御装置の要部の構
成を示すブロック図である。この制御装置は、Ａ系及び
Ｂ系から成る２重系の構成を有しており、Ａ系及びＢ系
はそれぞれマイクロプロセッサ・ユニット１０１Ａ，１
０１Ｂ及びメモリ１０２Ａ，１０２Ｂを有している。こ
れらマイクロプロセッサ・ユニット１０１Ａ，１０１Ｂ
はクロック回路１０３からのクロック信号により同期を
取りながら走行している。

【０００４】マイクロプロセッサ・ユニット１０１Ａ，
１０１Ｂにはバス１０４Ａ，１０４Ｂを介してバス照合
・交番信号出力回路１０５が接続されている。このバス
照合・交番信号出力回路１０５は、バス１０４Ａ，１０
４Ｂ上に現れるマイクロプロセッサ・ユニット１０１
Ａ，１０４Ｂの信号を照合し、両者が一致するか否かに
ついてその照合結果を照合異常検出回路１０６に出力し
ている。バス照合・交番信号出力回路１０５は、常時、
交番信号を出力しており、両者が一致している場合は、
この交番信号の出力を継続することによりマイクロプロ
セッサ・ユニット１０１Ａ，１０１Ｂの走行を許容す
る。

【０００５】しかし、バス照合・交番信号出力回路１０
５は、両者の信号の不一致が一度でも発生すると、この
不一致の情報を記憶し、以後の交番信号の出力を停止す
る。バス照合・交番信号出力回路１０５からの交番信号
の停止で、照合異常検出回路１０６は照合異常を検出
し、マイクロプロセッサ・ユニット１０１Ａ，１０１Ｂ
にリセット信号を出力する。マイクロプロセッサ・ユニ
ット１０１Ａ，１０１Ｂがリセットされることにより、
バス照合・交番信号出力回路１０５が照合すべきデータ
がなくなり、照合不一致となって交番信号を出力できな
くなる。

【０００６】そして、双方のマイクロプロセッサ・ユニ
ット１０１Ａ，１０１Ｂはリセットされた状態（安全側
の状態となっている）で走行を停止するので、上記のフ
ェイルセーフ機能が確保されることになる。

【０００７】

【発明が解決しようとする課題】従来の鉄道用保安制御
装置は、上記したように、図１９のような構成のフェイ
ルセーフ回路によってフェイルセーフ機能が確保されて
いる。しかし、図１９に示したフェイルセーフ回路は、
通常、専用のハードウエアにより構成されている。した
がって、高性能のマイクロプロセッサ・ユニットやマイ
クロコンピュータが開発される度に、その都度専用のハ
ードウエアを開発しなければならず、多大の労力及びコ
ストを費やす結果となっていた。

【０００８】また、最近の鉄道用保安制御装置には多く
の個所に半導体素子が使用されているが、これらの半導
体素子の故障の発生場所あるいは発生態様によってはフ
ェイルセーフ機能を確保できない場合も考えられ、フェ
イルセーフ性を一定以上向上させることが非常に困難で
あった。

【０００９】本発明は、上記事情に鑑みてなされたもの
であり、簡単な構成によって、フェイルセーフ性を向上
させることが可能な鉄道用保安制御装置及び保安制御シ
ステムを提供することを目的としている。

【００１０】

【課題を解決するための手段】上記課題を解決するため
の手段として、請求項１記載の発明は、現場機器に対す
る制御が可能な少なくとも２系統以上の制御系を有し、
この２系統以上の制御系はそれぞれに専用のマイクロプ
ロセッサ・コントローラを有している鉄道用保安制御装
置において、前記各制御系は、自系統側及び１つの他系
統側の入出力結果を記憶し、前記現場機器との間の信号
の入出力結果について、自系統側と１つの他系統側との
間で一致するか否かを照合するための共有メモリと、自
系統側又は照合相手の他系統側が正常状態又は故障状態
のいずれにあるかを示す信号を出力するヘルシー回路
と、を有しており、各制御系の前記マイクロプロセッサ
・コントローラは、前記共有メモリを用いて前記照合を
行い、その照合結果の組合せが所定の場合にのみ前記現
場機器に対する制御を実行すると共に、自系統側又は１
つの他系統側のいずれかのヘルシー回路から故障状態を
示す信号を入力した場合は、その制御動作を停止するも
のであり、前記ヘルシー回路は、交番信号を出力する交
番信号出力回路と、前記交番信号出力回路からの交番信
号を１次側に入力し２次側から交番信号の交流分のみを
出力するトランスと、前記トランスからの交番信号を整
流した入力により動作するヘルシーリレー接点と、を有
するものである、ことを特徴とする。

【００１１】請求項２記載の発明は、請求項１記載の発
明において、前記各制御系は、前記現場機器からの信号
を入力する専用の入力ユニットを有するものであり、さ
らに、各制御系のマイクロプロセッサ・コントローラ
は、それぞれ自系統側の故障を診断する機能を備えると
共に、１つの他系統側の故障診断結果との照合を行う機
能を備えており、自系統側の入力ユニットの入力信号と
１つの他系統側の入力ユニットの入力信号とが一致しな
い場合は、双方の制御系の制御動作を停止し、前記両機
能に基づいて危険側故障を確実に検出するようにした、
ことを特徴とする。

【００１２】請求項３記載の発明は、請求項２記載の発
明において、前記各制御系の入力ユニットは、前記現場
機器からの信号入力経路上に設けられた入力用半導体素
子と、この入力用半導体素子に直列接続されたチェック
用半導体素子とを有しており、前記各制御系のマイクロ
プロセッサ・コントローラは、前記入力用半導体素子の
導通故障又はオープン故障を検出するために、チェック
信号の出力又はその出力停止を行うチェック信号発生回
路を有するものである、ことを特徴とする。

【００１３】請求項４記載の発明は、請求項１乃至３の
いずれかに記載の発明において、前記各制御系は、前記
現場機器に対する出力信号を出力し、且つその信号出力
経路が互いに直列接続されている専用の出力ユニットを
有するものであり、自系統側の出力ユニットの出力信号
と１つの他系統側の出力ユニットの出力信号とが一致し
ない場合は、双方の制御系の制御動作を停止するように
した、ことを特徴とする。

【００１４】請求項５記載の発明は、請求項４記載の発
明において、前記各出力ユニットは、それぞれ前記信号
出力経路上に設けられた出力用半導体素子と、この出力
用半導体素子のオンオフ状態とは反対のオンオフ状態を
示す故障検出用半導体素子と、この故障検出用半導体素
子に流れる電流を定期的にオンオフさせてこの故障検出
用半導体素子自体の故障の有無をチェックするチェック
用半導体素子と、を有しており、前記各マイクロプロセ
ッサ・コントローラは、前記出力用半導体素子をオンオ
フさせる出力信号駆動回路と、前記故障検出用半導体素
子のオンオフ状態の検出により前記出力用半導体素子に
ついての故障の有無を検出する故障検出回路と、前記故
障検出用半導体素子の導通故障又はオープン故障を検出
するために、チェック信号の出力又はその出力停止を定
期的に行うチェック信号発生回路と、前記現場機器のリ
レー接点状態を読み取る接点リードバック回路と、を有
しており、これら各回路の入力状態又は出力状態に基づ
いて、前記各出力ユニットについての故障状態を判別す
るものである、ことを特徴とする。

【００１５】請求項６記載の発明は、請求項５記載の発
明において、前記各マイクロプロセッサ・コントローラ
は、前記自系統側の出力ユニットの出力用半導体素子又
は前記１つの他系統側の出力ユニットの出力用半導体素
子のいずれか一方が半導通状態にあることを検出可能な
ものである、ことを特徴とする。

【００１６】請求項７記載の発明は、請求項１記載の発
明において、前記各制御系のマイクロプロセッサ・コン
トローラは、メインプログラムを実行する制御処理手段
と、前記メインプログラムに所定時間毎に割り込みプロ
グラムの割り込みをかけて前記交番信号を発生させる交
番信号発生手段とを有し、前記制御処理手段及び前記交
番信号発生手段は、前記メインプログラムの１回の処理
時間における割込プログラムの割込回数をそれぞれ監視
し、この割込回数の値が所定範囲外となった場合に、マ
イクロプロセッサ・コントローラの制御を停止させるも
のである、ことを特徴とする。

【００１７】請求項８記載の発明は、請求項１乃至７の
いずれかに記載の発明において、前記共有メモリは、前
記自系統側又は前記１つの他系統側のマイクロプロセッ
サ・コントローラのうちのいずれかのプログラム内容の
一部が書き換えられた場合に、その書き換えられた内容
を記憶可能なものであり、前記自系統側又は前記１つの
他系統側のマイクロプロセッサ・コントローラのうちの
いずれか一方のプログラム内容の一部が書き換えられた
場合には、他方のプログラム内容も同様に書き換えられ
るようになっている、ことを特徴とする。

【００１８】請求項９記載の発明は、請求項１乃至８の
いずれかに記載の発明において、前記制御系のいずれか
に故障が発生した場合、その制御系のマイクロプロセッ
サ・コントローラを他の制御系から強制的に切断するた
め、このコントローラの電源回路をオフにすることによ
りこのコントローラの動作を停止させる、ことを特徴と
する。

【００１９】請求項１０記載の発明は、請求項１記載の
発明において、前記制御系が第１乃至第３の３つの制御
系により構成され、いずれか１つの制御系に故障が発生
した場合に、残りの２つの制御系に故障が発生していな
いことを前記照合機能を用いて検出したときのみ、この
残りの２つの制御系により前記現場機器に対する制御を
継続する、ことを特徴とする。

【００２０】請求項１１記載の発明は、請求項１０記載
の発明において、前記第１乃至第３の３つの制御系の全
てによる制御動作実行中に、いずれか２つの制御系が残
りの制御系の故障を検出した場合は、残りの１つの制御
系のマイクロプロセッサ・コントローラの電源回路がオ
フとなり、また、前記第１乃至第３の３つの制御系のう
ちのいずれか２つの制御系による制御動作実行中に、一
方の制御系が他方の制御系の故障を検出した場合は、双
方の制御系のマイクロプロセッサ・コントローラの電源
回路がオフとなる、ことを特徴とする。

【００２１】請求項１２記載の発明は、請求項１乃至１
１のいずれかに記載の発明において、前記各制御系のマ
イクロプロセッサ・コントローラは、タイマのカウント
値に基づきメインプログラムにおける所定動作実行時点
を決定し、この時点で前記自系統側と１つの他系統側と
の間の照合を行う場合に、この時点から所定時間が経過
するまでの期間における照合結果を無効とすることによ
り、前記自系統側のタイマと１つの他系統側のタイマと
の間のカウントタイミングのずれに起因する照合エラー
を排除するようにした、ことを特徴とする。

【００２２】請求項１３記載の発明は、現場機器との間
で信号の授受を行う複数の入出力端末装置と少なくとも
１台の制御処理端末装置との間を通信ネットワークで接
続し、この制御処理端末装置がこれら複数の入出力端末
装置を介して複数の現場機器に対する制御を行う制御シ
ステムにおいて、前記入出力端末装置及び前記制御処理
端末装置を、前記請求項１乃至１２のいずれかに記載の
鉄道用保安制御装置により構成した、ことを特徴とす
る。

【００２３】請求項１４記載の発明は、請求項１３記載
の発明において、前記制御処理端末装置は、現在の列車
運行用の第１の制御処理端末装置と、新しい応用プログ
ラムが実装された第２の制御処理端末装置とで構成さ
れ、列車運行数が多い時間帯では、第１の制御処理端末
装置が全ての入出力端末装置との間で信号の授受を行
い、列車運行数が少ない時間帯では、第１の制御処理端
末装置は特定の入出力端末装置との間でのみ信号の授受
を行うと共に、第２の制御処理端末装置は残りの入出力
端末装置との間で信号の授受を行う、ことを特徴とす
る。

【００２４】請求項１５記載の発明は、請求項１４記載
の発明において、前記各入出力端末装置は、前記第１の
制御処理端末装置又は前記第２の制御処理端末装置のう
ちのいずれと信号の授受を行うかを決める切換スイッチ
を有しており、この切換スイッチの制御は前記第２の制
御処理端末装置により行われるようになっている、こと
を特徴とする。

【００２５】

【発明の実施の形態】以下、本発明の実施形態を図に基
づき説明する。但し、以下の実施形態では、鉄道用保安
制御装置及び鉄道用保安制御システムとして、電子踏切
制御装置及び電子踏切制御システムを例にとり説明する
が、本発明の技術の適用はこれらのみに限定されるわけ
ではなく、信号制御装置及び信号制御システムなどの他
の制御装置及び制御システムに適用可能なものである。

【００２６】図１は第１の実施形態の構成を示すブロッ
ク図である。この第１の実施形態は、Ａ系（第１の制御
系）及びＢ系（第２の制御系）の２つの制御系を有する
ものである。

【００２７】図１において、まず、Ａ系の構成を説明す
ると、Ａ系マイクロプロセッサ・コントローラ１Ａはマ
イクロプロセッサ・ユニット２Ａ、ＲＯＭにより構成さ
れた記憶部３Ａ、ＲＡＭにより構成された記憶部４Ａ、
入出力インタフェイス５Ａを有しており、これらはＭＰ
Ｕバス６Ａにより相互に接続されている。

【００２８】入出力インタフェイス５ＡはＩ／Ｏバス７
Ａに接続されており、このＩ／Ｏバス７Ａには、また、
入力ユニット８Ａ、出力ユニット９Ａ、及びヘルシー回
路１０Ａも接続されている。このヘルシー回路１０Ａ
は、出力回路１１Ａ、トランス１２Ａ、リレー１３Ａ、
及びヘルシーリレー接点１４Ａ等により構成されてい
る。Ｉ／Ｏバス７ＡはＩ／Ｏバスコントローラ１５Ａに
より制御されるようになっており、このＩ／Ｏバスコン
トローラ１５Ａに共有メモリ１６Ａが接続されている。

【００２９】Ｂ系の構成もＡ系と同様であるため、Ｂ系
についてはその重複した説明を省略する。出力ユニット
９Ａ，９Ｂ間には現場機器のリレー１７が接続されてお
り、そのリレー接点１８のオンオフにより、例えば遮断
機の制御が行われるようになっている。そして、リレー
接点１８の状態は、リードバック（ＲＢ）信号として入
力ユニット８Ａ，８Ｂに入力されるようになっている。

【００３０】マイクロプロセッサ・ユニット２Ａは、デ
ータの入出力制御、各種演算、シリアルデータ伝送等を
行うものである。記憶部３Ａは、マイクロプロセッサ・
ユニット２Ａのプログラムを格納するものであり、この
実施形態では電気的な書込・消去が可能なＥＥＰＲＯＭ
により形成されている。記憶部４Ａは、ユーザアプリケ
ーション・プログラムとマイクロプロセッサ・ユニット
２Ａの動作に必要なメモリである。入出力インタフェイ
ス５Ａは、ＭＰＵバス６ＡとＩ／Ｏバス７Ａとの間のイ
ンタフェイスを行うものであり、ゲートアレイにより構
成されている。

【００３１】入力ユニット８Ａは、例えば所定区間にお
ける列車の存在を知らせる信号、あるいは上述したリー
ドバック信号等を入力し、これをＡ系マイクロプロセッ
サ・コントローラ１Ａに送出するものである。

【００３２】出力ユニット９Ａは、Ａ系マイクロプロセ
ッサ・コントローラ１Ａからの制御信号を出力し、リレ
ー１７の制御を行うものである。但し、後述するよう
に、このリレー１７は、出力ユニット９Ａ，９Ｂの出力
値が動作方向で一致した場合のみ動作するようになって
いる。

【００３３】共有メモリ１６Ａ，１６Ｂには、それぞれ
自系の入力データや出力データ等が記憶されるようにな
っている。しかし、Ｉ／Ｏバスコントローラ１５Ａ，１
５Ｂの制御により、コントローラ１Ａ，１Ｂはそれぞれ
自系の共有メモリの内容だけでなく、他系の共有メモリ
の内容についても読み取ることができるようになってい
る。

【００３４】ヘルシー回路１０Ａは、自系が正常な状態
であるか否かを示す信号を出力する回路である。正常な
状態の場合は、出力回路１１Ａからの交番信号がトラン
ス１２Ａを介してリレー１３Ａを励磁し、ヘルシーリレ
ー接点１４Ａがオン状態となる。一方、故障状態の場合
は、ヘルシーリレー接点１４Ａはオフとなる。ヘルシー
リレー接点１４Ａがオフとなっている場合は、もちろん
Ａ系は制御を停止しているが、ヘルシーリレー接点１４
Ａがオフになるとヘルシーリレー接点１４Ｂもオフとな
り、Ｂ系も結局制御を停止するようになっている。

【００３５】上記した図１の構成は、コントローラ部分
が他の部分とＩ／Ｏインタフェイスで分離されており、
独立性が強いものとなっている。したがって、汎用性の
高いボードコンピュータ等を採用することができ、マイ
クロプロセッサのみを高機能の機種と交換することによ
って、機能の向上や新機種への対応を容易に図ることが
可能な構成となっている。

【００３６】図２は、図１における入力ユニット８Ａ，
８Ｂの構成と、この入力ユニット８Ａ，８Ｂとの間で信
号の授受を行うマイクロプロセッサ・コントローラ１
Ａ，１Ｂの構成とを示すブロック図である。この図にお
いて、入力ユニット８Ａは、抵抗１９Ａと、発光ダイオ
ード２１Ａ及びフォトトランジスタ２２Ａにより形成さ
れるフォトカプラ２０Ａ（入力用半導体素子）と、発光
ダイオード２４Ａ及びフォトトランジスタ２５Ａにより
形成されるフォトカプラ２３Ａ（チェック用半導体素
子）とを有している。

【００３７】コントローラ１Ａは、故障診断回路２６Ａ
と、信号入力回路２７Ａと、比較照合回路２８Ａと、チ
ェック信号発生回路２９Ａとを有している。そして、入
力ユニット８Ｂ及びコントローラ１Ｂも入力ユニット８
Ａ及びコントローラ１Ａと同様の構成を有している。

【００３８】入力ユニット８Ａ，８Ｂには入力接点信号
Ｓ1が入力されるようになっている。入力接点信号Ｓ1
は、踏切付近の所定区間内に列車が存在するか否かを知
らせる２値信号であり、“０”は列車が存在する場合、
“１”は列車が存在しない場合を示している。ここで、
入力ユニット８Ａ，８Ｂのフェイルセーフ機能について
説明すると、信号Ｓ1の入力の際のフェイルセーフ性と
は、信号“０”を誤って信号“１”と判別してしまうこ
とを確実に防止することをいう。

【００３９】すなわち、入力ユニットに何らかの故障が
生じ、実際の入力信号“０”（列車が存在する）を入力
信号“１”（列車が存在しない）と誤って認識して遮断
機を開放した場合には重大事故に直結する虞れがあるの
で、このような故障は絶対に回避しなければならない。
このような故障を「危険側故障」と呼ぶ。これに対し、
実際の入力信号“１”（列車が存在しない）を入力信号
“０”（列車が存在する）と誤って認識させるような故
障は直ちに重大事故に直結するものではないため、この
ような故障を「安全側故障」と呼ぶ。図２の構成は、上
記の危険側故障に起因する事故を確実に防止するための
ものである。

【００４０】次に、図２の動作につき説明する。まず、
入力ユニット８Ａ，８Ｂのいずれにも故障が生じていな
い場合を考える。例えば、入力接点信号Ｓ1として信号
“０”が入力ユニット８Ａ，８Ｂに入力されると、入力
ユニット８Ａ内の抵抗１９Ａ、発光ダイオード２１Ａ、
フォトトランジスタ２５Ａの経路には電流が流れないの
で、コントローラ１Ａ内の信号入力回路２７Ａも“０”
を入力する。この入力結果は共有メモリ１６に書き込ま
れる。入力ユニット８Ｂ及びコントローラ１Ｂ内でも同
様の動作が行われる。

【００４１】比較照合回路２８Ａは、共有メモリ１６に
書き込まれている信号入力回路２７Ｂの入力結果を読み
出し、これと信号入力回路２７Ａの入力結果との比較照
合を行う。この照合結果は故障診断回路２６Ａに送ら
れ、これに基づき故障診断回路２６Ａは故障診断を行
う。コントローラ１Ｂ内の比較照合回路２８Ｂ及び故障
診断回路２６Ｂも同様の動作を行う。この場合は、比較
照合回路２８Ａ，２８Ｂの照合結果は一致し、従って故
障診断回路２６Ａ，２６Ｂはいずれも正常である旨の診
断を行う。

【００４２】ところが、入力ユニット８Ａ内のフォトト
ランジスタ２２Ａが導通故障している場合、実際の入力
接点信号Ｓ1は“０”にも拘わらず信号入力回路２７Ａ
は“１”を入力することになる。この場合のフォトトラ
ンジスタ２２Ａの導通故障は危険側故障であるが、図２
の構成によればこのような故障に基づく入力結果を排除
することができる。

【００４３】すなわち、チェック信号発生回路２９Ａ
は、チェック信号としての“０”信号及び“１”信号を
定期的に交互に出力している。いま、チェック信号発生
回路２９Ａが“０”信号を発光ダイオード２４Ａに出力
している状態であればフォトトランジスタ２５Ａはオフ
状態であるため、発光ダイオード２１Ａには電流が流れ
ず、従ってフォトトランジスタ２２Ａも必ずオフ状態と
なるはずである。それにもかかわらず、信号入力回路２
７Ａが“１”を入力しているのはフォトトランジスタ２
２Ａに導通故障が生じていることに他ならない。故障診
断回路２６Ａは、このチェック信号発生回路２９Ａの出
力状態と信号入力回路２７Ａの入力結果とに基づいて入
力ユニット８Ａが故障であると判断する。

【００４４】一方、チェック信号発生回路２９Ａが
“１”信号を出力している状態の場合は、信号入力回路
２７Ａが“１”を入力したとしてもそれだけでは入力ユ
ニット８Ａに故障が生じているか否かは分からない。し
かし、この場合、比較照合回路２８ＡがＢ系との間で照
合を行っているので、故障診断回路２６Ａはこの照合結
果によって入力ユニット８Ａに故障が生じていることを
判断することができる。

【００４５】また、入力接点信号Ｓ1が“０”である状
態でフォトトランジスタ２２Ａにオープン故障が生じる
場合がある。この場合は、チェック信号発生回路２９Ａ
の出力信号が“０”又は“１”のいずれであっても信号
入力回路２７Ａは“０”を入力し、正常状態における場
合と同様の入力結果を示すため、故障診断回路２６Ａは
正常と判断することになる。つまり、コントローラ１Ａ
は正常と判断しているが実際には故障が潜在した状態と
なっている。しかし、この故障は既述したように安全側
故障であり、直ちに検出されなくても重大事故に直結す
るものではないため許容され得る看過である。

【００４６】図３は、入力ユニットの代表的な故障モー
ドを示した図表である。上述した例は、項目１乃至４に
該当する。なお、“０”信号及びこれに続く“１”信号
を１組の信号と見た場合には、一見すると、項目１及び
項目２、あるいは項目３及び項目４を一つの項目として
表記することも可能であるように思える。しかし、入力
ユニットの正常・故障状態は瞬時に変化する可能性を有
することから、フェイルセーフ機能を追求するために
は、チェック信号発生回路２９Ａが“０”信号を出力し
た時点及び“１”信号を出力した時点の各時点において
単独で正常又は故障の判断を行う必要がある。それ故、
図３においては、項目１，２、項目３，４、 … 項目
１９，２０等をそれぞれまとめて表記せず、単独の項目
として表記しいている。

【００４７】図４は、図１における出力ユニット９Ａ，
９Ｂの構成と、この出力ユニット９Ａ，９Ｂとの間で信
号の授受を行うマイクロプロセッサ・コントローラ１
Ａ，１Ｂの構成とを示すブロック図である。この図にお
いて、出力ユニット９Ａは、発光ダイオード３１Ａ及び
フォトトランジスタ３２Ａにより形成されるフォトカプ
ラ３０Ａ（出力用半導体素子）と、発光ダイオード３４
Ａ及びフォトトランジスタ３５Ａにより形成されるフォ
トカプラ３３Ａ（故障検出用半導体素子）と、発光ダイ
オード３７Ａ及びフォトトランジスタ３８Ａにより形成
されるフォトカプラ３６Ａ（チェック用半導体素子）
と、抵抗３９Ａとを有している。出力ユニット９Ｂも出
力ユニット９Ａと同様の構成を有しているが、その他
に、ダイオード４０及び抵抗４１を有している。

【００４８】コントローラ１Ａは、出力信号駆動回路４
２Ａと、故障検出回路４３Ａと、チェック信号発生回路
４４Ａと、接点リードバック回路４５Ａとを有してい
る。そして、コントローラ１Ｂもコントローラ１Ａと同
様の構成を有している。また、図１においても示したリ
レー１７及びリレー接点１８は、遮断機制御装置などの
現場機器内に配設されている。

【００４９】２４ボルト電源の高圧側端子には直列接続
されたヘルシーリレー接点１４Ａ，１４Ｂを介してフォ
トカプラ３０Ａが接続されており、これに続いてフォト
カプラ３０Ｂ、ダイオード４０を介してリレー１７の一
端側が接続され、リレー１７の他端側が２４ボルト電源
の０ボルト端子に接続されている。したがって、出力ユ
ニット９Ａの信号出力経路と、出力ユニット９Ｂの信号
出力経路とは互いに直列接続されている。

【００５０】リレー１７に対して励磁信号としての
“１”信号が出力ユニット９Ａ及び９Ｂから同時に出力
されてリレー１７が励磁されている状態では、リレー接
点１８が閉じ、遮断機が上がった状態となっている。ま
た、リレー１７に対して無励磁信号としての“０”信号
が出力ユニット９Ａ及び９Ｂから出力されてリレー１７
が無励磁の状態になっていれば、リレー接点１８が開
き、遮断機が下がった状態になっている。したがって、
出力ユニットのフェイルセーフ性とは、“０”信号を出
力して遮断機を下げていなければならない場合にもかか
わらず、誤って“１”信号が出力され遮断機を上げてし
まうような故障を確実に防止することである。図４の出
力ユニットの構成は、図２の入力ユニットの場合と同様
に、“１”信号を危険側信号、“０”信号を安全側信号
として扱い、危険側故障に起因する事故を確実に防止す
るためのものである。

【００５１】次に、図４の動作につき説明する。Ａ系及
びＢ系のいずれも正常に機能している場合はヘルシーリ
レー接点１４Ａ，１４Ｂの双方がオンになっている。い
ま、出力信号駆動回路４２Ａ，４２Ｂの一方又は双方か
ら“０”信号が出力されていれば、フォトトランジスタ
３２Ａ，３２Ｂ及びダイオード４０の経路には電流が流
れないので、リレー１７は無励磁状態であり、したがっ
て遮断機は下がった状態となっている。このとき、リレ
ー接点１８はオフとなっており、接点リードバック回路
４５Ａ，４５Ｂは“１”信号を検出する。一方、出力信
号駆動回路４２Ａ，４２Ｂの双方から“１”信号が出力
されていれば、フォトトランジスタ３２Ａ，３２Ｂ及び
ダイオード４０の経路に電流が流れるので、リレー１７
は励磁状態となり、したがって遮断機は上がった状態と
なる。このとき、リレー接点１８はオンとなり、接点リ
ードバック回路４５Ａ，４５Ｂは“０”信号を検出す
る。

【００５２】そして、上記のように、フォトトランジス
タ３２Ａ，３２Ｂ及びダイオード４０の経路に電流が流
れていない状態では、抵抗３９Ａ，発光ダイオード３４
Ａ側及び抵抗３９Ｂ，発光ダイオード３４Ｂ側にそれぞ
れ微弱電流が流れ、故障検出回路４３Ａ，４３Ｂが
“１”信号を入力するようになっている。一方、フォト
トランジスタ３２Ａ，３２Ｂ及びダイオード４０の経路
に電流が流れている状態では、抵抗３９Ａ，発光ダイオ
ード３４Ａ側及び抵抗３９Ｂ，発光ダイオード３４Ｂ側
に微弱電流は流れず、故障検出回路４３Ａ，４３Ｂは
“０”信号を入力するようになっている。

【００５３】上記の故障検出回路４３Ａ，４３Ｂにより
フォトトランジスタ３２Ａ，３２Ｂの故障を検出するこ
とができる。すなわち、例えば、フォトトランジスタ３
２Ａが導通故障している場合には、出力信号駆動回路４
２Ａから“０”信号が出力されているにもかかわらず、
故障検出回路４３Ａが“０”信号を入力する（正常であ
れば、回路４３Ａは“１”信号を入力するはずであ
る。）。したがって、フォトトランジスタ３２Ａの導通
故障を検出することができる。また、フォトトランジス
タ３２Ａがオープン故障している場合には、出力信号駆
動回路４２Ａから“１”信号が出力されているにもかか
わらず、故障検出回路４３Ａが“１”信号を入力する
（正常であれば、回路４３Ａは“０”信号を入力するは
ずである。）。したがって、フォトトランジスタ３２Ａ
のオープン故障を検出することができる。

【００５４】上記のように、フォトカプラ３３Ａ及び故
障検出回路４３Ａによりフォトトランジスタ３２Ａの故
障を検出することができるようになっている。しかし、
フォトカプラ３３Ａのフォトトランジスタ３５Ａが故障
した場合、特に、その故障が導通故障である場合はフェ
イルセーフ性を維持することができなくなる。なぜな
ら、フォトトランジスタ３５Ａが導通故障している場合
は故障検出回路４３Ａの入力が常時“１”となるため、
フォトトランジスタ３２Ａに導通故障が生じ、危険側信
号である“１”信号が誤ってリレー１７に出力されて
も、これを検出することができなくなるからである（こ
れに対し、フォトトランジスタ３５Ａのオープン故障の
場合は、故障検出回路４３Ａの入力が常時“０”とな
り、コントローラ自体がリレー１７に危険側信号である
“１”信号が出力されていることを認識していることに
なるので重大事故に直結することはない。）。したがっ
て、フェイルセーフ性を確保するためには、フォトトラ
ンジスタ３５Ａの導通故障は確実に検出すべき事象であ
る。フォトカプラ３６Ａ及びチェック信号発生回路４４
Ａは、この確実に検出すべき事象であるフォトトランジ
スタ３５Ａの導通故障を検出するために設けられたもの
であり、チェック信号発生回路４４Ａは定期的に“０”
信号及び“１”信号を交互に出力している。

【００５５】すなわち、チェック信号発生回路４４Ａは
チェック信号としての“１”信号及び“０”信号を交互
に発光ダイオード３７Ａに出力し、フォトトランジスタ
３８Ａをオンオフする。これにより、発光ダイオード３
４Ａに流れる電流が強制的にオンオフされる。したがっ
て、故障検出回路４３Ａが“１”信号を入力した状態で
チェック信号発生回路４４Ａがチェック信号を出力した
場合に、このチェック信号に応じて故障検出回路４３Ａ
の信号入力状態が変化せず、連続して“１”信号を入力
している状態となっているのであれば、それはフォトト
ランジスタ３５Ａに導通故障が発生しているからである
ということが分かる。

【００５６】図５は、出力信号駆動回路４２Ａ、接点リ
ードバック回路４５Ａ、チェック信号発生回路４４Ａ、
及び故障検出回路４３Ａの動作を説明するためのタイム
チャートであり、（ａ）は正常動作の場合、（ｂ）は危
険側故障の場合、（ｃ）は安全側故障の場合をそれぞれ
示している。なお、「出力されるべき信号」とは、リレ
ー１７に対して本来正しく出力されるべき信号の意味で
ある。

【００５７】図５（ａ）に示されるように、正常の場合
には、故障検出回路４３Ａが入力する信号は、チェック
信号発生回路４４Ａが“０”信号を出力している場合に
は必ず“０”であり、また、チェック信号発生回路４４
Ａが“１”信号を出力している場合には接点リードバッ
ク回路４５Ａが読み取った信号と同じ信号となってい
る。

【００５８】しかし、図５（ｂ）に示されるように、フ
ォトトランジスタ３５Ａに導通故障が生じた場合は、チ
ェック信号が“０”であるにもかかわらず故障検出回路
４３Ａは“１”信号を入力している。そのため、この時
点で直ちにシステムを停止させて危険側故障に起因する
重大事故の発生を未然に防止するようにしている。も
し、この時点でシステムを停止させずにそのまま運転を
継続した場合、フォトトランジスタ３２Ａに導通故障が
生じても、これを検出することができなくなるからであ
る。

【００５９】また、図５（ｃ）に示されるように、フォ
トトランジスタ３５Ａにオープン故障が生じた場合は、
接点リードバック回路４５Ａが“０”信号を読み取って
いる期間は、チェック信号の変化によってもこのオープ
ン故障は検出されることがない。しかし、既述した通
り、この期間中にフォトトランジスタ３５Ａのオープン
故障が検出できなくとも重大事故に直結することはな
い。そして、この状態のままフォトトランジスタ３２Ａ
にオープン故障が発生すると、チェック信号が“１”で
あるにもかかわらず故障検出回路４３Ａが入力する信号
が“０”となり、接点リードバック回路４５Ａの信号と
一致しないために、フォトトランジスタ３２Ａのオープ
ン故障が検出され、システムが停止されることになる。
図６に、上述したような故障を含めた、出力ユニットの
代表的な故障モードを示す。

【００６０】ところで、図４におけるフォトトランジス
タ３２Ａ，３２Ｂは特異な状態に陥る可能性を有するも
のである。特異な状態とは、例えば、出力信号駆動回路
４２Ａが“０”信号を出力している場合に、フォトトラ
ンジスタ３２Ａが不飽和の状態でその漏れ電流を増加さ
せ、リレー１７を励磁してしまう虞れのあるレベルの電
流を流している状態のことをいう（この状態のことを
「半導通状態」と呼ぶ。）。この半導通状態では、リレ
ー１７は実際には励磁されておらず、故障検出回路４３
Ａも“１”信号を入力しているので何らの故障も検出さ
れていない。しかし、フォトトランジスタ３２Ａがこの
ような半導通状態に陥っている間にフォトトランジスタ
３２Ｂに導通故障が生じると、出力信号駆動回路４２
Ａ，４２Ｂが“０”信号を出力しているにもかかわらず
リレー１７が励磁されてしまい、出力ユニット９Ａ，９
Ｂのフェイルセーフ性が失われることになる。重大事故
の発生を確実に防ぎ安全性を向上させるためには、この
ような半導通状態が生じていることを確実に検出し、速
やかにシステムを停止させてフェイルセーフ性を維持す
ることが求められる。図４の構成によれば、このような
半導通状態を確実に検出することが可能である。

【００６１】すなわち、正常の状態において出力信号駆
動回路４２Ａが“０”信号を出力している場合には、微
弱電流が抵抗３９Ａ、発光ダイオード３４Ａ、フォトト
ランジスタ３８Ａを通って出力ユニット９Ｂ側に出力さ
れるが、この出力される微弱電流はチェック信号発生回
路４４Ａの働きによって“０”と“１”とが交互に繰り
返される信号となっている。したがって、チェック信号
発生回路４４Ｂの出力によりフォトトランジスタ３８Ｂ
がオンになっている状態において、故障検出回路４３Ｂ
は、出力ユニット９Ａ側からの信号が“１”の場合には
“１”信号を入力し、出力ユニット９Ａ側からの信号が
“０”の場合には“０”信号を入力するはずである。と
ころが、フォトトランジスタ３２Ａが上記の半導通状態
に陥っている場合には、その漏れ電流によって出力ユニ
ット９Ａからの電流レベルが上昇し、故障検出回路４３
Ｂは、フォトトランジスタ３８Ｂがオンになっている状
態においては常時“１”信号を入力することになる。こ
の現象により、フォトトランジスタ３２Ａが半導通状態
にあることを検出することができる。上記の例は、Ａ系
側のフォトトランジスタ３２Ａが半導通状態にあること
をＢ系側の故障検出回路４３Ｂの入力状態に基づいて判
別していたが、Ｂ系側のフォトトランジスタ３２Ｂに半
導通状態が生じている場合もＡ系側の故障検出回路４３
Ａの入力状態に基づいて判別することができる。

【００６２】次に、図１において示したヘルシー回路１
０Ａ，１０Ｂにつき説明する。図７は、このヘルシー回
路１０Ａ，１０Ｂの構成図である。図７においてＡ系を
例に取り説明すると、コントローラ１Ａのマイクロプロ
セッサ・ユニット２Ａは交番信号を生成するが、この交
番信号は入出力インタフェイス５Ａ及びＩ／Ｏバス７Ａ
を介してヘルシー回路１０Ａに送出される。そして、ヘ
ルシー回路１０Ａでは、出力回路１１Ａがこの交番信号
をトランス１２Ａの１次側に出力し、その２次側からは
直流分がカットされて交番信号の交流分のみが出力され
る。トランス１２Ａの２次側から出力される交番信号は
ダイオード４６Ａにより整流され、この整流された電流
によってリレー１３Ａが励磁され、ヘルシーリレー接点
１４Ａがオンとなる。

【００６３】上記したように、リレー１３Ａは間接的に
はマイクロプロセッサ・ユニット２Ａによって生成され
る交番信号に基づき励磁されるので、マイクロプロセッ
サ・ユニット２Ａが故障を検知した場合には必ず無励磁
となってヘルシーリレー接点１４Ａがオフとなる。つま
り、マイクロプロセッサ・ユニット２Ａが故障を検知し
た場合、通常、マイクロプロセッサ・ユニット２Ａは全
ての出力をクリアして“０”とするが、故障の種類によ
っては出力をクリアできなくなることがある。そして、
マイクロプロセッサ・ユニット２Ａから出力回路１１Ａ
に対して“１”信号が出力され続けることになるが、こ
の場合には出力回路１１Ａがトランス１２Ａの１次側に
供給する信号が交番信号ではなくなり、トランス１２Ａ
の２次側出力はゼロとなるためリレー１３Ａが励磁され
ることはない。したがって、マイクロプロセッサ・ユニ
ット２Ａが故障を検知した場合にはリレー１３Ａは必ず
無励磁となってヘルシーリレー接点１４Ａをオフの状態
にすることができる。そして、図４において図示したよ
うに、ヘルシーリレー接点１４Ａ，１４Ｂは直列接続さ
れた状態で電源回路に接続されているので、いずれか一
方がオフになった場合には決して現場機器内のリレー１
７が励磁されることがない。

【００６４】図８は、出力回路１１Ａ，１１Ｂの信号出
力状態とリレー１３Ａ，１３Ｂの励磁状態を示すタイム
チャートである。この図において、当初Ａ系及びＢ系共
に正常に機能していたが、ある時点でＡ系のマイクロプ
ロセッサ・ユニット２Ａが故障を検知したとする。する
と、マイクロプロセッサ・ユニット２Ａは直ちに全ての
出力をクリアするため出力回路１１Ａからの交番信号の
出力は停止され、それまで励磁状態となっていたリレー
１３Ａは無励磁状態となる。そして、Ｂ系のマイクロプ
ロセッサ・ユニット２Ｂは、Ａ系のマイクロプロセッサ
・ユニット２Ａが交番信号の生成を停止したことを照合
機能によって検知できるようになっている。したがっ
て、マイクロプロセッサ・ユニット２Ｂも、この後すぐ
に交番信号の生成を停止する。これにより、出力回路１
１Ｂからの交番信号の出力も停止されリレー１３Ｂも無
励磁状態となる。

【００６５】ここで、上記の交番信号において“１”と
なっている時間及び“０”となっている時間を一定に保
つための技術につき説明する。交番信号を出力する場
合、通常は、マイクロプロセッサ・ユニット２Ａがメイ
ンプログラムで出力することが考えられる。しかし、マ
イクロプロセッサ・ユニット２Ａの処理が正常に行われ
ている間はメインプログラムの制御処理時間が一定であ
るため特に問題は生じないが、外部からの入力信号の入
力状況如何によってはこの制御処理時間が一定でなくな
り、“１”である時間及び“０”である時間を一定に保
つことが困難になる。

【００６６】そこで、本実施形態では、図９に示すよう
に、マイクロプロセッサ・ユニット２Ａ内にメインプロ
グラムを実行する制御処理手段４７の他に、割り込みプ
ログラムを実行する交番信号発生手段４８を設け、これ
により交番信号を発生させるようにしている。制御処理
手段４７はカウンタ４９及び走行フラグ５０を有してお
り、交番信号発生手段４８はカウンタ５１を有してい
る。

【００６７】このような構成によりフェイルセーフな交
番信号を発生させるためには、メインプログラムに異常
が生じた場合は、割込プログラムによって確実にその走
行を停止させて交番信号の発生を停止させる必要があ
る。一方、割込プログラムに異常が生じた場合も、メイ
ンプログラムによって確実にその走行を停止させて交番
信号の発生を停止させる必要がある。そして、交番信号
の周期はできるだけ短い方が望ましいが、割込プログラ
ムが余りに頻繁に走行するとメインプログラムでの処理
時間がなくなってしまうので、その周期は適切に選ぶ必
要がある。図９の例では、制御処理手段４７が実行する
メインプログラムの１回の処理時間を１００〜２００ｍ
ｓとし、交番信号発生手段４８が実行する割込プログラ
ムの割込周期を５ｍｓとする。したがって、正常状態で
あれば、メインプログラムの１回の処理時間の間に割込
プログラムが２０〜４０回走行することになる。この関
係を利用してヘルシー回路の交番信号を発生させること
ができる。

【００６８】次に、図９の動作につき説明する。なお、
この例では、メインプログラムの１回の処理時間を１０
０ｍｓとし、正常な割込回数を２０±１回とする。制御
処理手段４７は、１回の走行開始時に走行フラグ５０を
セットすると共にカウンタ４９に走行回数についてのカ
ウント値を加算し、更に１回の走行終了時に走行フラグ
５０をリセットする。一方、交番信号発生手段４８は、
走行フラグ５０がセットされると５ｍｓ毎の割込を走行
フラグ５０がリセットされるまで行い、“１”又は
“０”の交番信号を発生させる。そして、交番信号発生
手段４８は、このときの割込回数についてのカウント値
をカウンタ５１に加算する。

【００６９】制御処理手段４７が１回の走行を終了して
走行フラグ５０をリセットし、次の走行を行うべく再度
走行フラグ５０のセットを行うと、この時点で交番信号
発生手段４８は、カウンタ５１のカウント値をチェック
する。いま、カウンタ５１のカウント値が２２回であっ
たとすると、制御処理手段４７は、メインプログラムに
異常が発生していると判別し、全プログラムの走行を停
止させる。

【００７０】一方、制御処理手段４７の側でもこの時点
でカウンタ５１のカウント値をチェックしている。した
がって、交番信号発生手段４８側に何らかの異常が発生
し、その結果カウンタ５１のカウント値が２２回になっ
た場合であっても、制御処理手段４７は、割込異常とし
て全プログラムの走行を停止させることができる。

【００７１】なお、制御処理手段４７は、上記の割込異
常以外の異常（例えば、Ｂ系側の入力データとの照合結
果が一致しない等の異常）が生じた場合は、図示を省略
してあるエラーフラグをセットして全プログラムを停止
させる。このエラーフラグについては、交番信号発生手
段４８もチェックしており、エラーフラグがセットされ
ると直ちに割込プログラムの走行を停止し、交番信号の
発生を停止するようになっている。

【００７２】上記した図９の構成によれば、メインプロ
グラム側が何らかの原因で処理時間がかかる故障を起こ
した場合、あるいは処理時間が余りに短いような故障を
起こした場合に、メインプログラム自身がこれらの故障
を検出できないときでも、割込プログラムにより故障を
検出してヘルシーリレーを無励磁にすることができる。
また、割込プログラム側が割込頻度が異常に高い故障又
は異常に低い故障を起こした場合は、これをメインプロ
グラムで検出してヘルシーリレーを無励磁にすることが
できる。すなわち、高速で且つ高精度の周期を有する交
番信号を出力することができ、フェイルセーフを実現す
ることができる。さらに、交番信号を高速化することが
できるため、ヘルシー回路１０Ａ，１０Ｂ内のトランス
１２Ａ，１２Ｂを小型化することができ、速い応答性を
得ることができるようになる。

【００７３】次に、図１に示した共有メモリ１６Ａ，１
６Ｂの利用により、プログラムの内容の一部を効率的に
書き換える技術につき説明する。一般に、電子踏切制御
装置のプログラムには標準的なものが用意されている
が、タイマ等の定数については現場の踏切の実際の状況
に合わせる必要があるため、予めインストールされてい
るプログラムの内容の一部を変更して使用する場合が通
常である。このようなプログラム内容の変更は、電子踏
切制御装置を実際に設置する際や、設置後の運用結果に
基づいて行われることが多いが、いずれにしても現場に
おいて行わなければならないので、この変更処理は容易
且つ確実に実行できるようにしておくことが望ましい。
本実施形態の構成によれば、共有メモリの働きにより、
Ａ系又はＢ系のいずれか一方の系のみに対してプログラ
ム内容の一部を変更すれば、他方の系のプログラム内容
も自動的に変更されるようにすることができる。

【００７４】すなわち、現場にいるオペレータは、図１
においては図示を省略してあるＰＣ（パーソナル・コン
ピュータ）モニタを操作して、変更すべきタイマ等の定
数をマイクロプロセッサ・ユニット２Ａを介して記憶部
３Ａに書き込む。この記憶部３Ａは、既述したように、
ＥＥＰＲＯＭにより形成されているので、電気的な書込
が可能であり、また、電源が停電した場合でもデータ保
持が可能なものである。

【００７５】記憶部３Ａに書き込まれたデータは共有メ
モリ１６Ａにも書き込まれるが、Ｂ系マイクロプロセッ
サ・コントローラ１Ｂはこの共有メモリ１６Ａの内容を
読み出し、これを自系の記憶部３Ｂ及び共有メモリ１６
Ｂに書き込む。そして、Ａ系マイクロプロセッサ・コン
トローラ１Ａは、共有メモリ１６Ａのデータと共有メモ
リ１６Ｂとを照合し、その照合結果をＰＣモニタに出力
する。ＰＣモニタは、Ａ系に書き込まれたデータと、Ａ
系への書込に伴ってＢ系に書き込まれたデータとを比較
し、両者が一致していれば正常である旨を表示し、ま
た、不一致であればＡ系の動作を停止するようにＡ系マ
イクロプロセッサ・コントローラ１Ａに指示する。な
お、変更データの信頼性を高めるために、定数データに
はデータの誤りを検出できるチェックコードを一緒に送
信することも可能である。

【００７６】このように、図１の構成によれば、タイマ
等の定数などを変更する場合、２台のマイクロプロセッ
サ・コントローラのうち１台のみに対して変更処理を行
えば、他方の系の定数も自動的に変更される。そして、
自系と他系の変更内容が同一になっているか否かについ
てのチェックも同時に実行することができるので、人間
の操作ミスによる誤った定数の設定を防止することがで
きる。

【００７７】次に、本発明の第２の実施形態につき説明
する。図１０はこの第２の実施形態の構成を示すブロッ
ク図である。図１に示した第１の実施形態は、Ａ系（第
１の制御系）及びＢ系（第２の制御系）の２つの制御系
を有するものであったが、この第２の実施形態は３つの
制御系を有するものであり、Ａ系及びＢ系の２つの制御
系の他にさらにＣ系（第３の制御系）を有するものであ
る。そして、図１１は、この図１０に示した電子踏切制
御装置を用いて構成した電子踏切制御システムの構成図
である。

【００７８】まず、図１１の電子踏切制御システムにつ
いて先に説明する。この図において、第１の制御処理端
末装置６１、第２の制御処理端末装置６２、及び４台の
入出力処理端末装置６３〜６６の各制御系は、Ａ〜Ｃ系
のＬＡＮによって互いに接続されている。そして、入出
力処理端末装置６３〜６６は、それぞれ現場機器６７〜
７０との間で信号の授受を行うようになっている。

【００７９】第１の制御処理端末装置６１及び第２の制
御処理端末装置６２は入出力処理端末装置６３〜６６の
上位機器であり、現場機器６７〜７０は実質的にはこれ
ら第１の制御処理端末装置６１又は第２の制御処理端末
装置６２により、入出力処理端末装置６３〜６６を介し
て制御されることになる。

【００８０】第１の制御処理端末装置６１には現在の列
車運行に用いられるプログラムが実装されており、第２
の制御処理端末装置６２には新しく開発された応用プロ
グラムが実装されている。そして、列車運行数が多い時
間帯（昼間）には全ての現場機器６７〜７０が稼働する
が、列車運行数が少ない時間帯（夜間）には現場機器６
７のみが稼働し、現場機器６８〜７０に対しては改修工
事あるいは試験等が行われるものとする。

【００８１】入出力処理端末装置６３〜６６のそれぞれ
は、第１の制御処理端末装置６１又は第２の制御処理端
末装置６２のうちのいずれと信号の授受を行うかを決め
る切換スイッチを有しており、この切換スイッチの制御
は第２の制御処理端末装置６２により行われるようにな
っている。昼間は、全ての入出力処理端末装置６３〜６
６は現場機器６７〜７０からの入力信号を第１の制御処
理端末装置６１のみに対して出力し、一方、第１の制御
処理端末装置６１のみが入出力処理端末装置６３〜６６
に対して信号を出力する。しかし、夜間になって第２の
制御処理端末装置６２が上記の切換スイッチを所定の位
置に切り換えると、入出力処理端末装置６３のみが現場
機器６７からの入力信号を第１の制御処理端末装置６１
に対して出力し、一方、第１の制御処理端末装置６１は
入出力処理端末装置６３のみに対して信号を出力する。
そして、入出力処理端末装置６４〜６６は、現場機器６
８〜７０からの入力信号を第２の制御処理端末装置６２
に対して出力し、一方、第２の制御処理端末装置６２は
入出力処理端末装置６４〜６６に対して信号を出力す
る。

【００８２】このような鉄道用保安制御システムによれ
ば、特定の線路を使用する列車の運行は継続したまま
で、他の線路に設けられた踏切の改修工事あるいは試験
等を行うことが可能になるので、改修工事の効率を大き
く向上させることができ、工期の短縮を図ることができ
る。

【００８３】次に、図１０の構成につき説明する。この
図において、Ａ系のマイクロプロセッサ・コントローラ
７１Ａは、マイクロプロセッサ・ユニット７２Ａ、メモ
リ部７３Ａ、ＬＡＮ制御部７４Ａ、及びＩ／Ｏバス・イ
ンタフェイス７５Ａを有している。マイクロプロセッサ
・コントローラ７１ＡはＩ／Ｏバス・インタフェイス７
６Ａを介して入力ユニット７７Ａ、出力ユニット７８
Ａ、及びヘルシー回路７９Ａと接続されている（入力ユ
ニット７７Ａ及び出力ユニット７８Ａ構成は、それぞれ
図２及び図４に示したものと略同様の構成のものであ
る。）。Ｂ系及びＣ系もＡ系と同様の構成を有してい
る。そして、Ａ系とＢ系との間には共有メモリ８０、Ｂ
系とＣ系との間には共有メモリ８１、Ｃ系とＡ系との間
には共有メモリ８２が、それぞれ設けられている。

【００８４】各系の入力ユニット７７Ａ，７７Ｂ，７７
Ｃには、現場機器入力信号モジュール８３を介して現場
機器６７（又は現場機器６８〜７０）からの信号が入力
されるようになっており、また、各系の出力ユニット７
８Ａ，７８Ｂ，７８Ｃからの信号が現場機器出力信号モ
ジュール８４を介して現場機器６７に出力されるように
なっている。そして、各系のヘルシー回路７９Ａ，７９
Ｂ，７９Ｃからのヘルシーリレー接点信号の状態が、現
場機器出力信号モジュール８４、さらに現場機器入力信
号モジュール８３に対して送出されるようになってお
り、３系のうち少なくとも２系が正常でなければ現場機
器出力信号モジュール８４及び現場機器入力信号モジュ
ール８３が動作しないようになっている。なお、現場機
器入力信号モジュール８３及び現場機器出力信号モジュ
ール８４は、図１０の構成についての理解を容易にする
ために概念的な要素として図示したものであり、実際に
は各コントローラ内のマイクロプロセッサ・ユニット７
２Ａ，７２Ｂ，７２Ｃの機能として考えられるものであ
る。

【００８５】図１２は、図１０におけるヘルシー回路７
９Ａ，７９Ｂ，７９Ｃの構成図である（ヘルシー回路７
９Ｂ，７９Ｃの構成はヘルシー回路７９Ａと同様である
ため省略する。）。この図において、Ａ系マイクロプロ
セッサ・コントローラ７１Ａのマイクロプロセッサ・ユ
ニット７２Ａは交番信号を生成するが、この交番信号は
Ｉ／Ｏバス・インタフェイス７５Ａ，７６Ａを介してヘ
ルシー回路７９Ａに送出される。ヘルシー回路７９Ａで
は、２つの出力回路８５Ａ1，８５Ａ2がこの交番信号を
それぞれトランス８６Ａ1，８６Ａ2の１次側に出力し、
その２次側からは直流分がカットされて交番信号の交流
分のみが出力される。トランス８６Ａ1，８６Ａ2の各２
次側から出力される交番信号はそれぞれダイオード８７
Ａ1，８７Ａ2により整流され、この整流された電流によ
ってリレー８８Ａ1，８８Ａ2が励磁され、ヘルシーリレ
ー接点８９Ａ1，８９Ａ2がオンとなる。

【００８６】図１２のヘルシー回路７９Ａの動作は、図
７の場合と略同様であるため、その重複した説明は省略
し、各系の間のヘルシーリレー接点のオンオフの組合せ
のみについて説明する。図１２における「ヘルシーＡ＝
Ｂ，ヘルシーＡ＝Ｃ，…ヘルシーＣ＝Ｂ」は、他系と関
連するヘルシーリレー接点を示している。つまり、イコ
ール記号の左側のアルファベット記号は自系側を示し、
イコール記号の右側のアルファベット記号は他系側を示
している。

【００８７】そして、例えば、Ａ系コントローラが自己
診断によって自系の故障を検出した場合は、Ａ＝Ｂ及び
Ａ＝Ｃの接点をオフにして自系の走行を停止する。この
とき、Ｂ系側ではＢ＝Ｃの接点はオンのままにしておく
が、Ａ系と関連する接点であるＢ＝Ａの接点をオフにす
る。同様に、Ｃ系側でもＣ＝Ｂの接点はオンのままにし
ておくが、Ａ系と関連する接点であるＣ＝Ａの接点をオ
フにする。

【００８８】一方、Ａ系コントローラがその照合機能に
よって他系の故障を検出した場合は、その他系と関連す
る接点のみをオフにする。例えば、Ａ系コントローラが
Ｂ系の故障を検出した場合は、Ａ＝Ｂの接点のみをオフ
にしてＡ＝Ｃの接点はオンにしておく。このとき、Ｃ系
側でもＣ系コントローラがＢ系の故障を検出し、Ｃ＝Ｂ
の接点のみをオフにしてＣ＝Ａの接点はオンにしてある
はずである。そして、Ａ系側及びＣ系側の各接点Ａ＝Ｂ
及びＣ＝Ｂがオフになったことにより、Ｂ系側の接点Ｂ
＝Ｃ及びＢ＝Ａもオフとなり、Ｂ系の走行が停止され
る。

【００８９】図１０に示した第２の実施形態は、既述し
たように、Ａ系，Ｂ系，Ｃ系の３重系構成を有するもの
であり、そのうち２系の入力データ又は出力データが一
致した場合に、その入力データ又は出力データを正常デ
ータとして取り扱うとする、所謂「２out of３」方式を
採用している。３系のうち２系の入出力データが一致す
る場合の態様としては、次の３つの態様がある。

【００９０】（１）Ａ系及びＢ系のヘルシーリレー接点
が共にオン（ヘルシーリレーが励磁状態）であり、且つ
Ａ系及びＢ系の出力データ（又は入力データ）が共に
“１”である。 （２）Ｂ系及びＣ系のヘルシーリレー接点が共にオン
（ヘルシーリレーが励磁状態）であり、且つＢ系及びＣ
系の出力データ（又は入力データ）が共に“１”であ
る。 （３）Ｃ系及びＡ系のヘルシーリレー接点が共にオン
（ヘルシーリレーが励磁状であり、且つＣ系及びＡ系の
出力データ（又は入力データ）が共に“１”である。

【００９１】例えば、Ｂ系において故障が発生した場
合、ヘルシー回路７９Ｂの接点Ｂ＝Ｃ及びＢ＝Ａがオフ
になると共に、ヘルシー回路７９Ａ，７９Ｃの接点Ａ＝
Ｂ及びＣ＝Ｂがオフになる。しかし、ヘルシー回路７９
Ａ，７９Ｃの接点Ａ＝Ｃ及びＣ＝Ａはオン状態を維持し
ているので、正常なＡ系及びＣ系によってシステムの制
御を継続することができる（上記の（３）の態様）。

【００９２】次に、図１０の動作を、図１３のフローチ
ャートに基づき説明する。但し、図１３においてはＡ系
及びＢ系相互間のみの動作を説明し、Ｂ系及びＣ系相互
間並びにＣ系及びＡ系相互間についての重複した説明を
省略する。

【００９３】コントローラ７１Ａ，７１Ｂは、まず、プ
ログラムで制御を開始するための同期処理を行う。すな
わち、コントローラ７１Ａ，７１Ｂは、「同期通番」と
呼ばれる処理回数を示す番号を共有メモリ８０の自系領
域８０Ａ，８０Ｂに書き込み、自系の同期通番と他系の
同期通番とが一致するか否かを確認することにより同期
が取れたか否かを判別する（ステップ１０１Ａ，１０１
Ｂ）。同期が取れない場合は一定時間だけ待ち、それで
も同期が取れない場合は互いに他系を故障と判断し、そ
れぞれヘルシーリレー接点をオフにしてヘルシーリレー
を無励磁とする。そして、同期が取れた場合は、そのタ
イミングで制御処理を開始する。

【００９４】同期が取れた後、各コントローラは、入力
モジュール８３を通して入力した現場機器６７からの入
力信号を読み込み、これを自系の記憶領域８０Ａ，８０
Ｂに書き込む。そして、自系に書き込んだ入力信号と他
系に書き込まれた入力信号とが一致するか否かを判別す
る（ステップ１０２Ａ，１０２Ｂ）。一致しない場合
は、それぞれ他系を故障と判別し、一方、一致する場合
は制御のための演算処理を行う（ステップ１０３Ａ，１
０３Ｂ）。

【００９５】各コントローラは、演算処理結果を出力信
号として自系の記憶領域８０Ａ，８０Ｂに書き込み、さ
らに自系に書き込んだ出力信号と他系に書き込まれた出
力信号とが一致するか否かを判別する（ステップ１０４
Ａ，１０４Ｂ）。一致しない場合は、それぞれ他系を故
障と判別し、一方、一致する場合は、これを出力モジュ
ール８４を介して現場機器６７に出力する。

【００９６】このように、Ａ系側コントローラは自系の
制御処理を行うと共に、Ｂ系側コントローラに対する故
障検出器としても機能しており、また、Ｂ系側コントロ
ーラも自系の制御処理を行うと共に、Ａ系側コントロー
ラに対する故障検出器としても機能している。したがっ
て、現場機器との間で確実な入出力制御を行うことがで
きる。

【００９７】図１４は、図１３において説明した他系と
の同期チェック処理、入力処理、及び出力処理を含め、
エラー処理が行われる主な場合をＡ系側を例に取って示
したフローチャートである。Ａ系コントローラ７１Ａ
は、まず、自系のＩ／Ｏバス等について異常がないか否
かにつき自己診断を行い（ステップ１）、異常があった
場合、すでに励振出力されていればエラー処理として励
振処理の出力を停止し（ステップ１９）、制御動作を停
止する（ステップ２０）。励振出力とは、図１２におい
てマイクロプロセッサ・ユニット７２Ａが交番信号の発
生し、出力回路８５Ａ1，８５Ａ2に交番信号を出力させ
ることである。

【００９８】コントローラの自己診断の結果、異常がな
ければ上記の励振出力を行う（ステップ２）。そして、
コントローラ７１Ａは、共有メモリ８０，８２に対する
書き込みテスト及び読み出しテストを行い（ステップ
３）、異常があればステップ１９の処理を行う。次い
で、入力ユニット７７Ａ及び出力ユニット７８Ａのオフ
チェックを行って導通故障が生じていないかどうかをチ
ェックし（ステップ４，５）、異常があればステップ１
９の処理を行う。そして、前回の制御出力のリードバッ
クを行い、異常がないか否かを確認する（ステップ
６）。

【００９９】ステップ４〜６のチェックの結果、異常が
なければ、図１３において既述したように、他系すなわ
ちＢ系及びＣ系との同期を取るようにし（ステップ
７）、同期が取れなければステップ１９の処理を行う。
同期が取れたならば、入力モジュール８３からデータを
入力し入力処理を開始する（ステップ８）。そして、８
ビットの反転データを作成して、これを共有メモリ８
０，８２に書き込むと共に（ステップ９）、Ｂ系及びＣ
系の反転データと照合することにより、これら他系と共
有しているメモリデータのチェックを行い（ステップ１
０）、異常があればステップ１９の処理を行う。次い
で、入力モジュール８３から入力した入力信号について
他系と一致するか否かを共有メモリ８０，８２を用いて
照合し（ステップ１１）、異常があればステップ１９の
処理を行う。

【０１００】上記の照合の後、２つの同一内容のプログ
ラムである制御処理１，２をメモリエリアと時間を変え
て実行する（ステップ１２，１３）。そして、制御処理
１，２による演算結果を照合した結果（ステップ１
４）、一致しなければ異常であるとしてステップ１９の
処理を行う。

【０１０１】この後、この演算結果を出力しようとする
前に、ステップ９，１０と同様に、反転データの作成及
び書き込み並びに他系の反転データとの照合を行い（ス
テップ１５，１６）、異常があればステップ１９の処理
を行う。次いで、出力モジュール８４から出力すべき出
力信号について他系と一致するか否かを共有メモリ８
０，８２を用いて照合し（ステップ１７）、異常があれ
ばステップ１９の処理を行う。そして、異常がなけれ
ば、出力処理を行い（ステップ１８）、ステップ１以下
の動作を繰り返す。

【０１０２】Ａ系コントローラはステップ１９で励振出
力を停止する場合において、自系の異常を検出したとき
は、Ａ＝Ｂ及びＡ＝Ｃの双方のヘルシーリレー接点をオ
フにし、Ｂ系（又はＣ系）の異常を検出したときは、Ａ
＝Ｂのみ（又はＡ＝Ｃのみ）のヘルシーリレー接点をオ
フにする。そして、Ａ＝Ｂ及びＡ＝Ｃの双方のヘルシー
リレー接点がオフになった場合、Ａ系コントローラは走
行を停止するが（ステップ１９）、Ａ＝Ｂのみ（又はＡ
＝Ｃのみ）のヘルシーリレー接点がオフになった場合
は、Ｃ系（又はＢ系）との間で制御処理を続行する。

【０１０３】上述したように、３系のうちの１つの系に
故障が発生した場合、その系のコントローラは自系のヘ
ルシーリレーを無励磁にして自系の走行を停止させるよ
うになっているが、もし、自系のヘルシーリレーを無励
磁にできなかったとしても、他の２系が故障系のヘルシ
ーリレーを無励磁にし、故障系を制御処理に参加させな
いようにしてシステムの安全性を確保している。しか
し、故障系を除いた他の２系で制御処理を続行している
間に、何らかの原因で故障系が再び制御処理に参加する
ような事態が生じるとシステムの安全性が阻害されるこ
とになる。そこで、本実施形態では、このような事態が
生じることのないように、故障系の電源回路をオフに
し、故障系を他の２つの健全な系から強制的に切断する
ようにしている。

【０１０４】図１５は、電源回路をオフにする系を各態
様毎に示した図表である。なお、この電源回路は、図１
０においては図示を省略してあるが、各系のコントロー
ラ７１Ａ，７１Ｂ，７１Ｃ内に設けられているものであ
る。図１５において、「０」は故障と判断された系又は
その関連する系のヘルシーリレー接点（オフにされるべ
き接点）であり、「１」は正常な系のヘルシーリレー接
点であることを示している。また、Ｘ1は故障のために
既に電源回路がオフされている系のヘルシーリレー接点
（当然、オフになっている）を示し、Ｘ2はＸ1に係るヘ
ルシーリレー接点に追随してオフになっているヘルシー
リレー接点を示している。

【０１０５】したがって、項目１は、３系で制御中にＡ
系が故障したため、まずＡ系の接点Ａ＝Ｂ及びＡ＝Ｃを
オフにすると共に、Ｂ系及びＣ系の接点Ｂ＝Ａ及びＣ＝
Ａをオフにし、Ａ系の電源回路をオフにしてＢ系及びＣ
系で制御処理を続行する場合を示している。項目２は、
Ｃ系が故障のため既に電源回路がオフされており、Ａ系
及びＢ系の２系で制御処理を行っている間に、今度はＡ
系が故障したため、Ａ系の電源回路をオフにし、結局Ｂ
系の電源回路もオフにすべき場合を示している。項目３
は、Ｂ系が故障のため既に電源回路をオフされており、
Ａ系及びＣ系の２系で制御処理を行っている間に、今度
はＡ系が故障したため、Ａ系の電源回路をオフにし、結
局Ｃ系の電源回路もオフにすべき場合を示している。

【０１０６】図１６は、故障した系の電源回路を強制的
にオフする構成をＡ系を例に取って示した説明図であ
る。この図において、２４ボルトの電源回路の０Ｖ端子
と２４Ｖ端子との間にオンタイマリレー９０が接続され
ており、また、複数の接点により形成される接点群とＡ
系電源リレー９１との直列接続体も両端子間に接続され
ている。

【０１０７】上記の複数の接点とは、オンタイマリレー
９０のリレー接点９２、Ａ系電源リレー９１のリレー接
点９３、Ｂ＝Ａのヘルシーリレー接点９４、Ａ＝Ｂのヘ
ルシーリレー接点９５、Ｃ＝Ａのヘルシーリレー接点９
６、Ａ＝Ｃのヘルシーリレー接点９７である。また、Ａ
系電源リレー９１は交流１００ボルト電源の主接点９８
を有している。

【０１０８】次に、図１６の動作を説明する。電源回路
の投入時にはオンタイマリレー９０が数秒間励磁され接
点９２をオンにするため、Ａ系電源リレー９１が強制的
に励磁される。これにより接点９３がオンになり、また
主接点９８がオンとなって、交流１００ボルトがコント
ローラに供給される。そして、Ａ系コントローラは接点
９５，９７をオンにするが、これと同時にＢ系及びＣ系
のコントローラも動作を開始して接点９４，９６をオン
にする。したがって、Ａ系電源リレー９１の自己保持回
路が形成され、オンタイマリレー９０が無励磁となった
後もＡ系電源リレー９１の励磁状態が保持される。

【０１０９】この状態でＢ系及びＣ系がＡ系の故障を検
出すると、接点９４，９６がオフとなるため、Ａ系電源
リレー９１は無励磁となり主接点９８がオフとなって、
故障系であるＡ系は健全系であるＢ系及びＣ系から完全
に切断される。また、Ａ系及びＢ系の２系で制御処理中
（Ｃ系が故障であるため、接点９６，９７は既にオフと
なっている。）にＢ系がＡ系の故障を検出すると、接点
９４がオフとなるため、Ａ系電源リレー９１は無励磁と
なり主接点９８がオフとなって、故障系であるＡ系の制
御は停止される（これに伴って、健全系であるＢ系の制
御も結局は停止される。）。同様に、Ａ系及びＣ系の２
系で制御処理中（Ｂ系が故障であるため、接点９４，９
５は既にオフとなっている。）にＣ系がＡ系の故障を検
出すると、接点９６がオフとなるため、Ａ系電源リレー
９１は無励磁となり主接点９８がオフとなって、故障系
であるＡ系の制御は停止される（これに伴って、健全系
であるＣ系の制御も結局は停止される。）。さらに、３
系で制御処理中にＡ系が自己診断により自系の故障を検
出した場合は、接点９５，９７がオフとなるため、この
場合もＡ系電源リレー９１が無励磁となってＡ系の制御
が停止される。

【０１１０】図１７は、各リレーの励磁状態及び各ヘル
シーリレー接点のオンオフ状態の変化を示すタイムチャ
ートであり、（ａ）は３系で正常動作中にＡ系が異常と
なった場合、（ｂ）はＡ系及びＢ系の２系で動作中にＡ
系が異常となった場合を示している。

【０１１１】図１７（ａ）において、電源投入後に直ち
にオンタイマリレー９０がオンになると共にＡ系電源リ
レー９１及びＣ系電源リレーがオンとなっている。そし
て、オンタイマリレー９０がオフとなった後、Ｂ系及び
Ｃ系がＡ系の異常を検出したため接点９４，接点９６が
オフとなってＡ系電源リレー９１をオフにする。さら
に、この後Ａ系の接点９５，９７もオフとなる。

【０１１２】図１７（ｂ）において、先にＣ系の異常が
検出され、Ｃ系電源リレーがオフとなった後（接点９
６，９７も既にオフとなっている。）、Ｂ系がＡ系の異
常を検出し、接点９４をオフにしてＡ系電源リレー９１
をオフにしている。そして、この後Ａ系の接点９５もオ
フとなる。

【０１１３】次に、各系のコントローラが他系との間で
照合動作を行う場合に、各系のタイマ同士の間における
カウントタイミングのずれに起因する照合エラーを排除
するための技術について説明する。

【０１１４】各系の基本クロック信号は互いに独立に生
成されているので、各系のコントローラのタイマ同士の
間では、１カウント分の時間差が発生し、タイマ処理状
態が一致しない期間が存在する。例えば、メインプログ
ラムにおいて、所定の基準時点から３秒経過後に或る動
作を実行するように設定されている場合を考えてみる。
この場合、Ａ系及びＢ系はそれぞれのタイマが「３」を
表示した時点で、既述した入力又は出力の照合を行い、
照合結果が一致した場合に上記の動作を実行することに
なる。

【０１１５】ところが、Ａ系及びＢ系の各タイマはそれ
ぞれ独立して時間をカウントしているため、Ａ系タイマ
が「３」秒を表示した時点では、Ｂ系タイマがまだ
「２」秒を表示しているという場合があり得る。両タイ
マはそのカウント値が３．０〜３．９秒の期間に「３」
秒を表示するようになっているが、例えば、Ａ系タイマ
が３．７秒をカウントした時点でようやくＢ系タイマが
３．０秒をカウントした状態であったとすると、Ａ系タ
イマが３．０〜３．６秒をカウントしている期間中は、
Ａ系タイマは「３」秒を表示し、一方、Ｂ系タイマは
「２」秒を表示していることになる。したがって、Ａ系
タイマが「３」秒を表示した時点で上記の動作を実行す
べく両系の照合を行うと、その照合結果は不一致となる
ため故障と判別されてしまうことになる。

【０１１６】図１８は、このような両系のタイマのずれ
に起因する誤検知を防止する技術についての説明するた
めのタイムチャートである。この図において、（ａ），
（ｂ）はそれぞれＡ系タイマ及びＢ系タイマの処理状態
を示す信号であり、ＣＡ1，ＣＡ2…、ＣＢ1，ＣＢ2…は
１回目、２回目、…のカウントを示している。（ｃ），
（ｅ）はスキャン番号が付されたスキャン信号Ｓ1〜Ｓ9
を示している。（ｄ），（ｆ）はＡ系タイマ及びＢ系タ
イマの実際の照合時における処理状態を示す信号ＴＡ
1，ＴＢ１である。（ｇ）は上記の（ｄ），（ｆ）の信
号の一致状態及び不一致状態を示す信号である。また、
ｔ1はタイマの１カウントの間隔を示す時間であり、ｔ2
はＡ系タイマとＢ系タイマの動作開始時点の差を示す時
間であり、ｔ3は制御処理周期（スキャン周期）すなわ
ちメインプログラムの走行周期を示している。

【０１１７】図１８（ａ），（ｃ）から明らかなよう
に、Ａ系タイマの信号ＣＡ2が「１」になっている状態
が検出されるのはスキャン信号Ｓ3の立ち上がり時点か
らであり、それ故、実際の照合時におけるＡ系タイマの
処理状態は図１８（ｄ）の信号ＴＡ1によって示され
る。同様に、図１８（ｂ），（ｅ）から明らかなよう
に、Ｂ系タイマの信号ＣＢ3が「１」になっている状態
が検出されるのはスキャン信号Ｓ5の立ち上がり時点か
らであり、それ故、実際の照合時におけるＢ系タイマの
処理状態は図１８（ｆ）の信号ＴＢ1によって示され
る。そして、図１８（ｇ）に示されるように、信号ＴＡ
1，ＴＡ2はスキャン信号Ｓ3，Ｓ4の期間においては互い
に不一致の状態となっている。

【０１１８】したがって、もし上記のスキャン信号Ｓ
3，Ｓ4の期間においてＡ系とＢ系との照合を行った場合
には、両系のタイマ処理状態が一致しないために照合エ
ラーとなって、故障を検知したと判断されてしまうこと
になる。しかし、この場合は実際にＡ系又はＢ系に故障
が発生したわけではなく、上記の故障検知は誤検知であ
る。

【０１１９】そこで、本実施形態ではこのような誤検知
を防止するために、両系のタイマの処理状態の不一致を
検出したとしても、所定時間の間はこの不一致を無効と
する制御処理を行うようにしている。図１８の例では、
タイマの１カウントの時間ｔ1がスキャン周期ｔ3よりも
大きいので、少なくとも１カウント時間だけ待たない
と、両系のタイマの処理状態は確実には一致状態となら
ない。例えば、ｔ1を１００ｍｓ、ｔ3を４０ｍｓとした
場合に、３スキャンの間（Ｓ3，Ｓ4，Ｓ5）は不一致を
検出したとしてもこの不一致を無効とする処理を行い、
４スキャン連続で（Ｓ3〜Ｓ6）不一致を検出した場合に
はじめてこの不一致を有効とする処理を行うようにして
いる。図１８の例では、タイマの１カウントの時間ｔ1
がスキャン周期ｔ3よりも大きい場合につき説明した
が、ｔ1がｔ3よりも充分に小さい場合は、１スキャン時
間だけ待てば両系のタイマの処理状態は一致した状態と
なる。

【０１２０】

【発明の効果】以上のように、本発明によれば、各制御
系が、現場機器との間の信号の入出力結果について、自
系統側と１つの他系統側との間で一致するか否かについ
て共有メモリを用いて照合する機能を有し、全ての制御
系の照合結果の組合せが所定の場合にのみ前記現場機器
に対する制御を実行するようにしており、また、自系統
側又は照合相手の他系統側が正常状態又は故障状態のい
ずれにあるかをヘルシー回路を用いて検知する機能を有
し、いずれかの系統のヘルシー回路から故障信号を入力
した場合は制御動作を停止するようにしているので、簡
単な構成によって、フェイルセーフ性を向上させること
ができる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態の構成を示すブロック
図。

【図２】図１における入力ユニット８Ａ，８Ｂ、及びこ
の入力ユニットと信号の授受を行うＡ系コントローラ１
Ａ，Ｂ系コントローラ１Ｂの構成を示すブロック図。

【図３】図２の入力ユニットの代表的な故障モードを示
した図表。

【図４】図１における出力ユニット９Ａ，９Ｂ、及びこ
の出力ユニットと信号の授受を行うＡ系コントローラ１
Ａ，Ｂ系コントローラ１Ｂの構成を示すブロック図。

【図５】図４の動作を説明するためのタイムチャート。

【図６】図４の出力ユニットの代表的な故障モードを示
す図表。

【図７】図１におけるヘルシー回路１０Ａ，１０Ｂの構
成図。

【図８】図８の動作を説明するためのタイムチャート。

【図９】図７におけるマイクロプロセッサ・ユニット２
Ａの構成を示すブロック図。

【図１０】本発明の第２の実施形態の構成を示すブロッ
ク図。

【図１１】図１１の実施形態に係る電子踏切制御装置
（鉄道用保安制御装置）を用いて構成した電子踏切制御
システム（鉄道用保安制御システム）の構成図。

【図１２】図１０におけるヘルシー回路７９Ａ，７９
Ｂ，７９Ｃの構成図。

【図１３】図１０の動作を説明するためのフローチャー
ト。

【図１４】図１０のエラー処理が行われる主な場合を説
明するためのフローチャート。

【図１５】図１０における各系のコントローラ内の電源
回路をオフにする場合の態様を示す図表。

【図１６】図１０における各系のコントローラ内の電源
回路をオフにするための構成図。

【図１７】図１６の動作を説明するためのタイムチャー
ト。

【図１８】図１０における各系のコントローラが他系と
の間で照合動作を行う場合に、各系のタイマ同士の間に
おけるカウントタイミングのずれに起因する照合エラー
を排除するための技術を説明するためのフローチャー
ト。

【図１９】従来の鉄道用保安制御装置の要部の構成を示
すブロック図。

【符号の説明】

１Ａ，１Ｂ Ａ系及びＢ系マイクロプロセッサ・コント
ローラ ２Ａ，２Ｂ マイクロプロセッサ・ユニット ３Ａ，３Ｂ 記憶部 ４Ａ，４Ｂ 記憶部 ５Ａ，５Ｂ 入出力インタフェイス ６Ａ，６Ｂ ＭＰＵバス ７Ａ，７Ｂ Ｉ／Ｏバス ８Ａ，８Ｂ 入力ユニット ９Ａ，９Ｂ 出力ユニット １０Ａ，Ｂ１０ ヘルシー回路 １１Ａ，１１Ｂ 出力回路 １２Ａ，１２Ｂ トランス １３Ａ，１３Ｂ リレー １４Ａ，１４Ｂ ヘルシーリレー接点 １５Ａ，１５Ｂ Ｉ／Ｏバスコントローラ １６Ａ，１６Ｂ 共有メモリ １７ リレー １８ リレー接点 １９Ａ，１９Ｂ 抵抗 ２０Ａ，２０Ｂ フォトカプラ ２１Ａ，２１Ｂ 発光ダイオード ２２Ａ，２２Ｂ フォトトランジスタ ２３Ａ，２３Ｂ フォトカプラ ２４Ａ，２４Ｂ 発光ダイオード ２５Ａ，２５Ｂ フォトトランジスタ ２６Ａ，２６Ｂ 故障診断回路 ２７Ａ，２７Ｂ 信号入力回路 ２８Ａ，２８Ｂ 比較照合回路 ２９Ａ，２９Ｂ チェック信号発生回路 ３０Ａ，３０Ｂ フォトカプラ ３１Ａ，３１Ｂ 発光ダイオード ３２Ａ，３２Ｂ フォトトランジスタ ３３Ａ，３３Ｂ フォトカプラ ３４Ａ，３４Ｂ 発光ダイオード ３５Ａ，３４Ｂ フォトトランジスタ ３６Ａ，３６Ｂ フォトカプラ ３７Ａ，３７Ｂ 発光ダイオード ３８Ａ，３８Ｂ フォトトランジスタ ３９Ａ，３９Ｂ 抵抗 ４０ ダイオード４０ ４１ 抵抗４１ ４２Ａ，４２Ｂ 出力信号駆動回路 ４３Ａ，４３Ｂ 故障検出回路 ４４Ａ，４４Ｂ チェック信号発生回路 ４５Ａ，４５Ｂ 接点リードバック回路 ４６Ａ，４６Ｂ ダイオード ４７ 制御処理手段 ４８ 交番信号発生手段 ４９ カウンタ ５０ 走行フラグ ５１ カウンタ ６１ 第１の制御処理端末装置 ６２ 第２の制御処理端末装置 ６３〜６６ 入出力処理端末装置 ６７〜７０ 現場機器 ７１Ａ，７１Ｂ，７１Ｃ Ａ系、Ｂ系及びＣ系マイクロ
プロセッサ・コントローラ ７２Ａ，７２Ｂ，７２Ｃ マイクロプロセッサ・ユニッ
ト ７３Ａ，７３Ｂ，７３Ｃ メモリ部 ７４Ａ，７４Ｂ，７４Ｃ ＬＡＮ制御部 ７５Ａ，７５Ｂ，７５Ｃ Ｉ／Ｏバス・インタフェイス ７６Ａ，７６Ｂ，７６Ｃ Ｉ／Ｏバス・インタフェイス ７７Ａ，７７Ｂ，７７Ｃ 入力ユニット ７８Ａ，７８Ｂ，７８Ｃ 出力ユニット ７９Ａ，７９Ｂ，７９Ｃ ヘルシー回路 ８０〜８２ 共有メモリ ８３ 現場機器入力信号モジュール ８４ 現場機器出力信号モジュール ８５Ａ1，８５Ａ2 出力回路 ８６Ａ1，８６Ａ2 トランス ８７Ａ1，８７Ａ2 ダイオード ８８Ａ1，８８Ａ2 リレー ８９Ａ1，８９Ａ2 ヘルシーリレー接点 ９０ オンタイマリレー ９１ Ａ系電源リレー ９２〜９７ 接点 ９８ 主接点 １０１Ａ，１０１Ｂ マイクロプロセッサ・ユニット １０２Ａ，１０２Ｂ メモリ １０３ クロック回路 １０４Ａ，１０４Ｂ バス１０４ １０５ バス照合・交番信号出力回路 １０６ 照合異常検出回路

───────────────────────────────────────────────────── フロントページの続き (72)発明者 目 黒 隆 之 東京都渋谷区代々木二丁目２番２号 東日 本旅客鉄道株式会社内 (72)発明者 大 谷 祥 之 東京都渋谷区代々木二丁目２番２号 東日 本旅客鉄道株式会社内 (72)発明者 磯 野 京 介 東京都渋谷区代々木二丁目２番２号 東日 本旅客鉄道株式会社内 (72)発明者 永 島 暉 造 東京都港区芝浦一丁目１番１号 株式会社 東芝本社事務所内 (72)発明者 安 本 高 典 東京都港区芝浦一丁目１番１号 株式会社 東芝本社事務所内 Ｆターム(参考） 5H209 AA09 BB07 CC05 DD04 EE06 GG04 SS01 SS04 SS07 TT00

Claims (15)

【特許請求の範囲】
1. 【請求項１】現場機器に対する制御が可能な少なくとも
   ２系統以上の制御系を有し、この２系統以上の制御系は
   それぞれに専用のマイクロプロセッサ・コントローラを
   有している鉄道用保安制御装置において、 前記各制御系は、 自系統側及び１つの他系統側の入出力結果を記憶し、前
   記現場機器との間の信号の入出力結果について、自系統
   側と１つの他系統側との間で一致するか否かを照合する
   ための共有メモリと、自系統側又は照合相手の他系統側
   が正常状態又は故障状態のいずれにあるかを示す信号を
   出力するヘルシー回路と、を有しており、 各制御系の前記マイクロプロセッサ・コントローラは、
   前記共有メモリを用いて前記照合を行い、その照合結果
   の組合せが所定の場合にのみ前記現場機器に対する制御
   を実行すると共に、自系統側又は１つの他系統側のいず
   れかのヘルシー回路から故障状態を示す信号を入力した
   場合は、その制御動作を停止するものであり、 前記ヘルシー回路は、交番信号を出力する交番信号出力
   回路と、前記交番信号出力回路からの交番信号を１次側
   に入力し２次側から交番信号の交流分のみを出力するト
   ランスと、前記トランスからの交番信号を整流した入力
   により動作するヘルシーリレー接点と、を有するもので
   ある、 ことを特徴とする鉄道用保安制御装置。
2. 【請求項２】前記各制御系は、前記現場機器からの信号
   を入力する専用の入力ユニットを有するものであり、 さらに、各制御系のマイクロプロセッサ・コントローラ
   は、それぞれ自系統側の故障を診断する機能を備えると
   共に、１つの他系統側の故障診断結果との照合を行う機
   能を備えており、 自系統側の入力ユニットの入力信号と１つの他系統側の
   入力ユニットの入力信号とが一致しない場合は、双方の
   制御系の制御動作を停止し、前記両機能に基づいて危険
   側故障を確実に検出するようにした、 ことを特徴とする請求項１記載の鉄道用保安制御装置。
3. 【請求項３】前記各制御系の入力ユニットは、前記現場
   機器からの信号入力経路上に設けられた入力用半導体素
   子と、この入力用半導体素子に直列接続されたチェック
   用半導体素子とを有しており、 前記各制御系のマイクロプロセッサ・コントローラは、
   前記入力用半導体素子の導通故障又はオープン故障を検
   出するために、チェック信号の出力又はその出力停止を
   行うチェック信号発生回路を有するものである、 ことを特徴とする請求項２記載の鉄道用保安制御装置。
4. 【請求項４】前記各制御系は、前記現場機器に対する出
   力信号を出力し、且つその信号出力経路が互いに直列接
   続されている専用の出力ユニットを有するものであり、 自系統側の出力ユニットの出力信号と１つの他系統側の
   出力ユニットの出力信号とが一致しない場合は、双方の
   制御系の制御動作を停止するようにした、 ことを特徴とする請求項１乃至３のいずれかに記載の鉄
   道用保安制御装置。
5. 【請求項５】前記各出力ユニットは、それぞれ前記信号
   出力経路上に設けられた出力用半導体素子と、この出力
   用半導体素子のオンオフ状態とは反対のオンオフ状態を
   示す故障検出用半導体素子と、この故障検出用半導体素
   子に流れる電流を定期的にオンオフさせてこの故障検出
   用半導体素子自体の故障の有無をチェックするチェック
   用半導体素子と、を有しており、 前記各マイクロプロセッサ・コントローラは、前記出力
   用半導体素子をオンオフさせる出力信号駆動回路と、前
   記故障検出用半導体素子のオンオフ状態の検出により前
   記出力用半導体素子についての故障の有無を検出する故
   障検出回路と、前記故障検出用半導体素子の導通故障又
   はオープン故障を検出するために、チェック信号の出力
   又はその出力停止を定期的に行うチェック信号発生回路
   と、前記現場機器のリレー接点状態を読み取る接点リー
   ドバック回路と、を有しており、これら各回路の入力状
   態又は出力状態に基づいて、前記各出力ユニットについ
   ての故障状態を判別するものである、 ことを特徴とする請求項４記載の鉄道用保安制御装置。
6. 【請求項６】前記各マイクロプロセッサ・コントローラ
   は、前記自系統側の出力ユニットの出力用半導体素子又
   は前記１つの他系統側の出力ユニットの出力用半導体素
   子のいずれか一方が半導通状態にあることを検出可能な
   ものである、 ことを特徴とする請求項５記載の鉄道用保安制御装置。
7. 【請求項７】前記各制御系のマイクロプロセッサ・コン
   トローラは、メインプログラムを実行する制御処理手段
   と、前記メインプログラムに所定時間毎に割り込みプロ
   グラムの割り込みをかけて前記交番信号を発生させる交
   番信号発生手段とを有し、 前記制御処理手段及び前記交番信号発生手段は、前記メ
   インプログラムの１回の処理時間における割込プログラ
   ムの割込回数をそれぞれ監視し、この割込回数の値が所
   定範囲外となった場合に、マイクロプロセッサ・コント
   ローラの制御を停止させるものである、 ことを特徴とする請求項１記載の鉄道用保安制御装置。
8. 【請求項８】前記共有メモリは、前記自系統側又は前記
   １つの他系統側のマイクロプロセッサ・コントローラの
   うちのいずれかのプログラム内容の一部が書き換えられ
   た場合に、その書き換えられた内容を記憶可能なもので
   あり、 前記自系統側又は前記１つの他系統側のマイクロプロセ
   ッサ・コントローラのうちのいずれか一方のプログラム
   内容の一部が書き換えられた場合には、他方のプログラ
   ム内容も同様に書き換えられるようになっている、 ことを特徴とする請求項１乃至７のいずれかに記載の鉄
   道用保安制御装置。
9. 【請求項９】前記制御系のいずれかに故障が発生した場
   合、その制御系のマイクロプロセッサ・コントローラを
   他の制御系から強制的に切断するため、このコントロー
   ラの電源回路をオフにすることによりこのコントローラ
   の動作を停止させる、 ことを特徴とする請求項１乃至８のいずれかに記載の鉄
   道用保安制御装置。
10. 【請求項１０】前記制御系が第１乃至第３の３つの制御
    系により構成され、いずれか１つの制御系に故障が発生
    した場合に、残りの２つの制御系に故障が発生していな
    いことを前記照合機能を用いて検出したときのみ、この
    残りの２つの制御系により前記現場機器に対する制御を
    継続する、 ことを特徴とする請求項１記載の鉄道用保安制御装置。
11. 【請求項１１】前記第１乃至第３の３つの制御系の全て
    による制御動作実行中に、いずれか２つの制御系が残り
    の制御系の故障を検出した場合は、残りの１つの制御系
    のマイクロプロセッサ・コントローラの電源回路がオフ
    となり、 また、前記第１乃至第３の３つの制御系のうちのいずれ
    か２つの制御系による制御動作実行中に、一方の制御系
    が他方の制御系の故障を検出した場合は、双方の制御系
    のマイクロプロセッサ・コントローラの電源回路がオフ
    となる、 ことを特徴とする請求項１０記載の鉄道用保安制御装
    置。
12. 【請求項１２】前記各制御系のマイクロプロセッサ・コ
    ントローラは、タイマのカウント値に基づきメインプロ
    グラムにおける所定動作実行時点を決定し、この時点で
    前記自系統側と１つの他系統側との間の照合を行う場合
    に、この時点から所定時間が経過するまでの期間におけ
    る照合結果を無効とすることにより、前記自系統側のタ
    イマと１つの他系統側のタイマとの間のカウントタイミ
    ングのずれに起因する照合エラーを排除するようにし
    た、 ことを特徴とする請求項１乃至１１のいずれかに記載の
    鉄道用保安制御装置。
13. 【請求項１３】現場機器との間で信号の授受を行う複数
    の入出力端末装置と少なくとも１台の制御処理端末装置
    との間を通信ネットワークで接続し、この制御処理端末
    装置がこれら複数の入出力端末装置を介して複数の現場
    機器に対する制御を行う制御システムにおいて、 前記入出力端末装置及び前記制御処理端末装置を、前記
    請求項１乃至１２のいずれかに記載の鉄道用保安制御装
    置により構成した、 ことを特徴とする鉄道用保安制御システム。
14. 【請求項１４】前記制御処理端末装置は、現在の列車運
    行用の第１の制御処理端末装置と、新しい応用プログラ
    ムが実装された第２の制御処理端末装置とで構成され、 列車運行数が多い時間帯では、第１の制御処理端末装置
    が全ての入出力端末装置との間で信号の授受を行い、 列車運行数が少ない時間帯では、第１の制御処理端末装
    置は特定の入出力端末装置との間でのみ信号の授受を行
    うと共に、第２の制御処理端末装置は残りの入出力端末
    装置との間で信号の授受を行う、 ことを特徴とする請求項１３記載の鉄道用保安制御シス
    テム。
15. 【請求項１５】前記各入出力端末装置は、前記第１の制
    御処理端末装置又は前記第２の制御処理端末装置のうち
    のいずれと信号の授受を行うかを決める切換スイッチを
    有しており、この切換スイッチの制御は前記第２の制御
    処理端末装置により行われるようになっている、 ことを特徴とする請求項１４記載の鉄道用保安制御シス
    テム。