特開 2024-170137 制御装置および制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024170137

(43)【公開日】2024-12-06

(54)【発明の名称】制御装置および制御方法

(51)【国際特許分類】

   G06F 11/16 20060101AFI20241129BHJP

   B61L 1/00 20060101ALI20241129BHJP

【ＦＩ】

G06F11/16 629

B61L1/00

【審査請求】未請求

【請求項の数】6

【出願形態】ＯＬ

(21)【出願番号】P 2023087140

(22)【出願日】2023-05-26

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110002365

【氏名又は名称】弁理士法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】大森 尉久

【テーマコード（参考）】

5B034

5H161

【Ｆターム（参考）】

5B034CC01

5B034DD06

5H161AA01

5H161FF01

5H161FF07

(57)【要約】      （修正有）

【課題】同期ずれ異常の発生原因が軽微な場合には、２重系装置に係るシステムの停止を回避して、システムの稼働率を向上させる制御装置及び方法を提供する。
【解決手段】２つ以上のマイコンを備えるフェールセーフＣＰＵである制御装置は、２つ以上のマイコンＡ系及びＢ系の動作間で生じた同期ずれ異常を検知する異常検知部と、異常検知部が同期ずれ異常を検知した場合に、マイコンの各々の動作を夫々異常処理モード４２ａ、４２ｂへと移行させ、当該モードにおいて、同期ずれ異常を解消するための再同期フラグ４３ａ、４３ｂを有効にし、再同期フラグが有効ならば、マイコンの各々が実行する処理を夫々ループ処理４６ａ、４６ｂへと移行させ、当該ループ処理内で、２つ以上のマイコンの動作同士について再び同期を確立したときに、マイコンの各々が実行する処理を夫々メイン処理４１ａ、４１ｂへと復帰させる処理を行う処理部と、を有する。
【選択図】図５

【特許請求の範囲】

【請求項1】

２つ以上のマイコンを備えるフェールセーフＣＰＵからなる制御装置であって、
前記２つ以上のマイコンの動作間で生じた同期ずれ異常を検知する異常検知部と、
前記異常検知部が前記同期ずれ異常を検知した場合に、
前記２つ以上のマイコンの各々の動作をそれぞれ異常処理モードへと移行させ、
前記異常処理モードにおいて、前記同期ずれ異常を解消するための再同期フラグを有効にし、
前記再同期フラグが有効ならば、前記２つ以上のマイコンの各々が実行する処理をそれぞれループ処理へと移行させ、
当該ループ処理内で、前記２つ以上のマイコンの動作同士について再び同期を確立したときに、当該２つ以上のマイコンの各々が実行する処理をそれぞれメイン処理へと復帰させる
処理を行う処理部と
を有することを特徴とする制御装置。

【請求項2】

前記制御装置は、２つのマイコンを備える２重系装置である、請求項１に記載の制御装置。

【請求項3】

前記制御装置は、鉄道システムにおいて地上装置の動作を制御する鉄道保安用の電子連動装置である、請求項１に記載の制御装置。

【請求項4】

前記地上装置は、信号灯である、請求項３に記載の制御装置。

【請求項5】

前記地上装置は、転てつ機である、請求項３に記載の制御装置。

【請求項6】

２つ以上のマイコンを備えるフェールセーフＣＰＵを用いた制御方法であって、
前記フェールセーフＣＰＵは、
前記２つ以上のマイコンの動作間で生じた同期ずれ異常を検知する異常検知部と、
前記異常検知部が前記同期ずれ異常を検知した場合に、
前記２つ以上のマイコンの各々の動作をそれぞれ異常処理モードへと移行させ、
前記異常処理モードにおいて、前記同期ずれ異常を解消するための再同期フラグを有効にし、
前記再同期フラグが有効ならば、前記２つ以上のマイコンの各々が実行する処理をそれぞれループ処理へと移行させ、
当該ループ処理内で、前記２つ以上のマイコンの動作同士について再び同期を確立したときに、当該２つ以上のマイコンの各々が実行する処理をそれぞれメイン処理へと復帰させる
処理を行う処理部と
を有することを特徴とする制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、鉄道保安装置のような、安全に現場機器を制御する保安装置に関する。

【背景技術】

【0002】

機器を制御する制御装置のなかには、例えば保安装置のように、高い安全性や信頼性が求められる使途に用いられるものも少なからず存在する。そのような制御装置の一例として、同一構成のマイコン回路が並列に設けられることで少なくとも２以上の処理系統を備え、各処理系統にそれぞれ同一の演算処理を同時に実行させる、２重系、または多重系の制御装置（以下、「２重系装置」と総称する）が挙げられる（例えば特許文献１）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１８－１０６４７２号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

一般に、正常に動作中の２重系装置では、上述したように、全ての処理系統で同一の処理が、互いに同期された状態、すなわち、同じ速度且つ同じタイミングで実行される。しかしながら、こうした正常動作中の２重系装置であっても、互いに同期された状態で実行されている処理同士について、不意に、ずれが生じる場合がある。

【0005】

そのような異常（以下、「同期ずれ異常」と称する）が不意に生じた場合に、従来の２重系装置は、同期がずれた状態で実行されている処理同士を再び同期させて、正常な動作へと復帰させることができなかった。そのため、従来は、同期ずれ異常が不意に生じた場合には、当該２重系装置を含むシステム全体の安全性や信頼性への配慮から、当該２重系装置において実行中の処理を中止したり、当該２重系装置の動作自体を停止させたりすることが一般的であった。また、従来は、このような場合に、専ら、当該２重系装置を手動で操作して再び電源を投入したり、当該２重系装置の動作を遠隔操作によってリセットしたりするといった方法によって、当該２重系装置が再び正常に動作可能な状態となるように、当該２重系装置の状態を回復させていた。

【0006】

しかしながら、例えば鉄道保安装置のように、その動作を頻繁に停止させると、社会経済上、甚大な損失や不利益等が発生しうる２重系装置については、同期ずれ異常が生じる度に実行中の処理を中止したり、当該２重系装置の動作自体を停止させたりすることは好ましくない。

【0007】

本発明は、上記の課題に鑑みてなされたものであり、同期ずれ異常の発生原因が軽微な場合には、当該２重系装置に係るシステムの停止を回避して、当該システムの稼働率を向上させることが可能な技術を提供することを目的とする。

【課題を解決するための手段】

【0008】

本発明による制御装置は、２つ以上のマイコンを備えるフェールセーフＣＰＵからなる装置であって、２つ以上のマイコンの動作間で生じた同期ずれ異常を検知する異常検知部と、異常検知部が同期ずれ異常を検知した場合に、２つ以上のマイコンの各々の動作をそれぞれ異常処理モードへと移行させ、当該異常処理モードにおいて、当該同期ずれ異常を解消するための再同期フラグを有効にし、再同期フラグが有効ならば、２つ以上のマイコンの各々が実行する処理をそれぞれループ処理へと移行させ、当該ループ処理内で、２つ以上のマイコンの動作同士について再び同期を確立したときに、当該２つ以上のマイコンの各々が実行する処理をそれぞれメイン処理へと復帰させる処理を行う処理部とを有することを特徴とする。

【0009】

その他、本願が開示する課題、およびその解決方法は、発明を実施するための形態の欄、および図面により明らかにされる。

【発明の効果】

【0010】

本発明によれば、同期ずれ異常の発生原因が軽微な場合には、当該２重系装置に係るシステムの停止を回避して、当該システムの稼働率を向上させることができる。

【図面の簡単な説明】

【0011】

【図1】実施形態に係る制御装置のハードウェア構成の一例を示す図である。

【図2】従来技術に係る制御装置が、同期ずれ異常を検知後、システム停止となるまでの流れの一例を示す図である。

【図3】同期ずれ異常が生じる仕組みを示すシーケンス図である。

【図4】同期ずれ異常が生じた場合に、実施形態に係る制御装置が実行する同期化処理および比較処理の流れの一例を示すシーケンス図である。

【図5】実施形態に係る制御装置が、同期ずれ異常から復帰し、再び正常に動作するまでの流れの一例を示す図である。

【発明を実施するための形態】

【0012】

以下の説明では、「Ｉ／Ｏ」は、一つ以上のＩ／Ｏ（Input/Output）インターフェースデバイスでよい。当該一つ以上のＩ／Ｏ（Input/Output）インターフェースデバイスは、Ｉ／Ｏデバイスと遠隔の表示用計算機とのうちの少なくとも一つに対するインターフェースデバイスでよい。表示用計算機に対するＩ／Ｏインターフェースデバイスは、一つ以上の通信インターフェースデバイスでよい。少なくとも一つのＩ／Ｏデバイスは、ユーザーインターフェースデバイス、例えば、キーボードおよびポインティングデバイスのような入力デバイスと、表示デバイスのような出力デバイスとのうちのいずれでもよい。

【0013】

また、以下の説明では、「通信インターフェースデバイス」は、一つ以上の通信インターフェースデバイスでよい。一つ以上の通信インターフェースデバイスは、一つ以上の同種の通信インターフェースデバイス（例えば一つ以上のＮＩＣ（Network Interface Card））であってもよいし二つ以上の異種の通信インターフェースデバイス（例えばＮＩＣとＨＢＡ（Host Bus Adapter））であってもよい。

【0014】

すなわち、以下の説明では、「インターフェース装置」は、一つ以上のインターフェースデバイスでよい。当該一つ以上のインターフェースデバイスは、一つ以上のＩ／Ｏ（Input/Output）インターフェースデバイスと、一つ以上の通信インターフェースデバイスとのうちの少なくとも一つでよい。

【0015】

また、以下の説明では、「メモリ」は、一つ以上の記憶デバイスの一例である一つ以上のメモリデバイスであり、典型的には主記憶デバイスでよい。メモリにおける少なくとも一つのメモリデバイスは、揮発性メモリデバイスであってもよいし不揮発性メモリデバイスであってもよい。

【0016】

また、以下の説明では、「永続記憶装置」は、一つ以上の記憶デバイスの一例である一つ以上の永続記憶デバイスでよい。永続記憶デバイスは、典型的には、不揮発性の記憶デバイス（例えば補助記憶デバイス）でよく、具体的には、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、ＮＶＭＥ（Non-Volatile Memory Express）ドライブ、または、ＳＣＭ（Storage Class Memory）でよい。

【0017】

また、以下の説明では、「記憶装置」は、メモリと永続記憶装置の少なくともメモリでよい。

【0018】

また、以下の説明では、「マイコン」は、一つ以上のプロセッサデバイスでもよいし、一つ以上のプロセッサデバイスを含むマイクロコントローラ（Micro Controller Unit; ＭＣＵ）でもよい。少なくとも一つのプロセッサデバイスは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサデバイスでよいが、ＧＰＵ（Graphics Processing Unit）のような他種のプロセッサデバイスでもよい。少なくとも一つのプロセッサデバイスは、シングルコアでもよいしマルチコアでもよい。少なくとも一つのプロセッサデバイスは、プロセッサコアでもよい。少なくとも一つのプロセッサデバイスは、処理の一部または全部を行うハードウェア記述言語によりゲートアレイの集合体である回路（例えばＦＰＧＡ（Field-Programmable Gate Array）、ＣＰＬＤ（Complex Programmable Logic Device）またはＡＳＩＣ（Application Specific Integrated Circuit））といった広義のプロセッサデバイスでもよい。

【0019】

また、以下の説明では、「ｙｙｙ部」の表現にて機能を説明することがあるが、機能は、一つ以上のコンピュータプログラムがプロセッサによって実行されることで実現されてもよいし、一つ以上のハードウェア回路（例えばＦＰＧＡまたはＡＳＩＣ）によって実現されてもよいし、それらの組合せによって実現されてもよい。プログラムがプロセッサによって実行されることで機能が実現される場合、定められた処理が、適宜に記憶装置および／またはインターフェース装置等を用いながら行われるため、機能はプロセッサの少なくとも一部とされてもよい。機能を主語として説明された処理は、プロセッサあるいはそのプロセッサを有する装置が行う処理としてもよい。プログラムは、プログラムソースからインストールされてもよい。プログラムソースは、例えば、プログラム配布計算機または計算機が読み取り可能な記録媒体（例えば非一時的な記録媒体）であってもよい。各機能の説明は一例であり、複数の機能が一つの機能にまとめられたり、一つの機能が複数の機能に分割されたりしてもよい。

【0020】

また、以下の説明では、「プログラム」を主語として処理を説明する場合があるが、プログラムを主語として説明された処理は、プロセッサあるいはそのプロセッサを有する装置が行う処理としてもよい。また、二つ以上のプログラムが一つのプログラムとして実現されてもよいし、一つのプログラムが二つ以上のプログラムとして実現されてもよい。

【0021】

以下、図面を参照しつつ、本実施形態を詳細に説明する。

【0022】

なお、以下の説明においては、同一の、または類似する構成に共通の符号を付すことにより、重複した説明を省略することがある。

【0023】

また、同一あるいは同様の機能を有する要素が複数存在する場合に、当該複数の要素を区別するために、同一の符号に異なる添字を付して説明することがある。他方、当該複数の要素を区別する必要がない場合には、添字を省略して説明することがある。

【0024】

（制御装置１００の構成例）
まず、本実施形態に係る制御装置１００の構成例について、図１を参照して説明する。図１は、制御装置１００のハードウェア構成の一例を示した図である。

【0025】

本実施形態の制御装置１００は、信号灯や転てつ機等といった、鉄道システムを構成する各種地上装置（以下、「鉄道地上装置」とも称する）の動作を制御する電子連動装置であり、後述の各構成を備えるコンピュータ装置および／または制御基板によって実現される。

【0026】

図１に示したように、制御装置１００は、Ａ系回路５ａと、Ｂ系回路５ｂという、回路構成が同一な２系統のマイコン回路を備える、フェールセーフＣＰＵである。

【0027】

信号灯や転てつ機を制御する電子連動装置では、装置の故障が重大事故につながる可能性がある。従って、装置が故障した場合においても、装置全体を安全側に制御するフェールセーフな構成が不可欠となる。ここで、「フェールセーフ」とは、部品等の故障により、重大事故を招くような危険側制御とならないことをいう。危険側制御にならないようにするため、故障を確実に検出する回路を付加することにより、安全側制御となるような構成としている。よく用いられる構成としては、同一回路や同一部品を多重系構成とすることで、１つの系の回路や部品に異常が起きた場合に、別な系との違いにより故障を検知する方式が多い。その中でも代表的なフェールセーフ構成の１つに、図１に示した制御装置１００のように、２つのマイコン（１ａ、１ｂ）で冗長構成を取るフェールセーフＣＰＵがある。すなわち、このフェールセーフＣＰＵは、２つのマイコン（１ａ、１ｂ）がそれぞれ同一周波数、同一プログラムで且つ同一ステップで動作し、比較器１１によりこれら２つのマイコン（１ａ、１ｂ）の動作を常時監視することで、一方のマイコン（１ａまたは１ｂ）に異常が起きたかどうかを検知するものである。

【0028】

一般的なマイコン回路では、プログラムの保存および演算動作をさせるためのプログラム格納領域やワーク領域として使用するメモリ、外部との通信などデータ入出力を行うためのＩ／Ｏ等、いろいろなインターフェースを持つものが殆どである。制御装置１００のようなフェールセーフＣＰＵでは、この構成が２系統存在し、更にこの２系統のマイコン回路（５ａ、５ｂ）がそれぞれ同一周波数、同一プログラムで且つ同一ステップで動作する事を前提に、それぞれのマイコン（１ａ、１ｂ）より入出力するアドレス信号、データ信号、制御信号をある時間単位で比較し、異なる状態を検出すると一方が故障と判断し比較不一致として異常動作報告をする。

【0029】

上記内容についての具体的な説明を、図１を参照しつつ行う。図１は、フェールセーフＣＰＵである制御装置１００のハードウェア構成の一例を示す図である。なお、図１は、説明上必要な個所に着目した図であるため、不要な個所については図示を省略している。

【0030】

上述したように、制御装置１００はフェールセーフＣＰＵであるため、図１に示したように、Ａ系回路５ａと、Ｂ系回路５ｂという、回路構成が同一な２系統のマイコン回路を備えている。

【0031】

このうち、Ａ系マイコン１ａは、Ａ系マイコンバス４ａを介して、Ａ系メモリ２ａ、およびＡ系Ｉ／Ｏ３ａと接続される。同様に、Ｂ系マイコン１ｂは、Ｂ系マイコンバス４ｂを介して、Ｂ系メモリ２ｂ、およびＢ系Ｉ／Ｏ３ｂと接続される。

【0032】

Ａ系メモリ２ａは、自身の状態を報告するＡ系ステータス信号２１ａを出力する。同様に、Ｂ系メモリ２ｂは、自身の状態を報告するＢ系ステータス信号２１ｂを出力する。

【0033】

Ａ系Ｉ／Ｏ３ａは、Ｉ／Ｏ制御状態を報告するＡ系割込信号２３ａを出力する。同様に、Ｂ系Ｉ／Ｏ３ｂは、Ｉ／Ｏ制御状態を報告するＢ系割込信号２３ｂを出力する。

【0034】

制御装置１００のようなフェールセーフＣＰＵにおいては、Ａ系マイコンバス４ａとＢ系マイコンバス４ｂとが、それぞれ比較器１１に接続されている。この比較器１１は、Ａ系マイコン１ａおよびＢ系マイコン１ｂが、それぞれ同一周波数、同一プログラムで且つ同一ステップで動作する事を前提に、各マイコンバス（４ａ、４ｂ）の状態を常時監視して、２系統のマイコン回路（５ａ、５ｂ）の動作に異常が発生した場合には、当該異常を検知する。

【0035】

マイコンバス（４ａ、４ｂ）は、アドレス信号、データ信号、および制御信号の伝送経路である。そのため、比較器１１は、各マイコンバス（４ａ、４ｂ）の状態を常時監視して、これら信号の電圧レベルを所定の時間単位毎に比較する。そして、比較器１１は、１本でも異なる状態を検出すると、Ａ系回路５ａと、Ｂ系回路５ｂとのどちらか一方が故障したと判断して、異常動作報告を行う。

【0036】

（同期ずれ異常の概要）
フェールセーフＣＰＵにおいて、比較器１１によって異常として検知される要因（以下、「異常検知要因」と称する）の主な類型の一つが、前述した同期ずれ異常である。

【0037】

この同期ずれ異常は、前述したように、２系統のマイコン（１ａ、１ｂ）が正常動作時には同一ステップで動作し、同期状態が保たれるのに対し、何らかの理由で、各マイコン（１ａまたは１ｂ）がそれぞれ別の処理を実行してしまうことにより、２系統のマイコン（１ａ、１ｂ）の各々が、それぞれ異なるステップで動作している状態のことである。

【0038】

なお、別の異常検知要因の類型の一つに、比較不一致異常と呼称されるものがある。この比較不一致異常とは、同一ステップで動作している状態（同期状態）で生じる、部品のばらつきによるアドレス信号、データ信号、制御信号の電圧レベルの不一致が、異常として検出されたものである。この比較不一致異常については、本実施形態の制御装置１００が対象とする同期ずれ異常とは、異常検知要因の類型が異なるため、ここでは説明を省略する。

【0039】

比較器１１は、同期ずれ異常や比較不一致異常等の異常検知要因を検出した場合には、異常動作として報告する。

【0040】

具体的には、同期ずれ異常が発生すると、同一ステップで動作していたＡ系マイコン１ａとＢ系マイコン１ｂが異なるステップで動作してしまうため、前述したそれぞれのマイコンバス（４ａ、４ｂ）のアドレス信号、データ信号、制御信号の電圧レベルは、比較する同一時刻で見た場合、全てが異なる状態になる。比較器１１は、このような状態が発生した場合には、同期ずれ異常が生じたものとして、異常動作報告を行う。

【0041】

（同期ずれ異常の発生要因）
ここで、上述した同期ずれ異常の発生要因を説明する。なお、システムの構成等により要因は異なるため、以下に示す２つの例について、図１を参照しながら説明する。

【0042】

なお、この２つの例についての以下の説明は、いずれも、専らＡ系回路５ａを題材に行っており、Ｂ系回路５ｂについては、適宜、言及を省略している。しかしながら、Ａ系回路５ａを題材とした以下の説明は、実際には、Ｂ系回路５ｂについても同様に該当することは言うまでもない。

【0043】

１つ目は、２つのマイコン（１ａ、１ｂ）の各々に対して入力される割込信号（２３ａ、２３ｂ）に係る例を、Ａ系割込信号２３ａに主眼を置いて説明する。

【0044】

Ａ系Ｉ／Ｏ３ａは、Ｉ／Ｏ制御において何らかの事象が発生したことを、Ａ系割込信号２３ａを使用して、Ａ系マイコン１ａへ報告をする。一般的に、割込信号がマイコンに入力されると、割込処理プログラムへ分岐する。２重系装置におけるマイコン（１ａ、１ｂ）の場合は、それぞれの割込信号（２３ａ、２３ｂ）を、同時に、Ａ系マイコン１ａおよびＢ系マイコン１ｂへと入力させなければならない。同時に入力させないと、Ａ系マイコン１ａと、Ｂ系マイコン１ｂとが、同一ステップを確保できなくなるためである。Ａ系Ｉ／Ｏ３ａから出力されるＡ系割込信号２３ａも、部品の製造プロセスや個々のばらつき、経年劣化等により、時間的な長さが変わることがある。このことが、Ａ系割込信号２３ａとＢ系割込信号２３ｂとの入力タイミングに差を生じさせて、Ａ系マイコン１ａとＢ系マイコン１ｂとの間で同期ずれ異常を引き起こしてしまう要因である。

【0045】

２つ目は、２つのマイコン（１ａ、１ｂ）の各々に対して入力されるステータス信号（２１ａ、２１ｂ）に係る例を、Ａ系ステータス信号２１ａに主眼を置いて説明する。

【0046】

Ａ系メモリ２ａは、Ａ系マイコン１ａがＡ系メモリ２ａに対して書込や読込を行う時に、Ａ系メモリ２ａ自身の状態を示すＡ系ステータス信号２１ａを出力する。このＡ系ステータス信号２１ａは、Ａ系マイコン１ａが書込や読込を行った際に、Ａ系メモリ２ａの内部状態によって、Ａ系メモリ２ａがアクセス可能な状態か、不可能な状態かを示すステータス信号である。もし、このＡ系ステータス信号２１ａが、Ａ系メモリ２ａがアクセス不可能な状態であることを示している場合、Ａ系メモリ２ａがアクセス可能な状態となるまで処理を待たせたり、分岐させたりすることができる。その際の所要時間も、製造プロセスや個々のばらつき、経年劣化等により、時間的な長さが変わる。そのため、この状態が蓄積されると、同期ずれ異常を引き起こす要因となる。

【0047】

これらの、同期ずれ異常を発生させる２つの要因は、どちらも、マイコン回路（５ａ、５ｂ）を構成している各部品の製造プロセスで生じた当該部品のばらつきや、当該部品の経年劣化等によるものである。こうしたマイコン回路（５ａ、５ｂ）の構成部品のばらつきや経年劣化等といった原因は、部品交換を伴う修理の要否という点で、当該部品の物理的な故障とは明確に異なる。しかしながら、従来のフェールセーフＣＰＵでは、こうした当該部品の物理的な故障ではない、マイコン回路（５ａ、５ｂ）の構成部品の軽微な不具合に起因して生じた同期ずれ異常についても、当該部品の物理的な故障に起因して生じた同期ずれ異常と区別せずに同列に扱っており、同期ずれ異常が発生した場合には、その根本的な発生原因を区別することなく、一律に当該システムを停止させていた。

【0048】

すなわち、上述したように、フェールセーフＣＰＵにおいては、平常動作時には２つのマイコン（１ａ、１ｂ）が同一ステップで同期状態を保ちながら動作するが、同期ずれ異常が生じた場合には、異なる動作をすることがある。この同期ずれ異常が、例えばマイコン回路（５ａ、５ｂ）の構成部品のばらつきに起因する一過性故障によるものである場合には、当該部品のばらつきにより異なるが、Ａ系マイコン１ａとＢ系マイコン１ｂの処理の差が１バスサイクル以上になってしまうことがある。更に、Ａ系マイコン１ａとＢ系マイコン１ｂとが割込処理によって全く異なる処理をする場合には、更に大きな同期ずれ状態に陥ってしまうこともある。このように、マイコン回路（５ａ、５ｂ）の構成部品が物理的に故障したわけでないにもかかわらず、同期ずれ異常が生じてしまうことがあり、かねてより問題となっていた。

【0049】

また、特に、この同期ずれ異常が生じたケースにおいては、２つのマイコン（１ａ、１ｂ）の動作を再度同期させることが非常に困難である。そのため、従来のフェールセーフＣＰＵにおいては、同期ずれ異常が発生した場合には、上述したように、専ら、当該システムの稼働を停止させる対処法がとられてきた。こうした事情から、同期ずれ異常が発生した場合に、当該システムの稼働停止を回避する手段は、これまで見出されてこなかった。

【0050】

（従来技術における処理）
次に、図２を参照しながら、従来技術に係るフェールセーフＣＰＵが、同期ずれ異常を検知後、システム停止となるまでの流れについて説明する。

【0051】

なお、図２は、上述したメカニズムによって同期ずれ異常が発生した場合に、従来技術に係るフェールセーフＣＰＵが実行する処理の一例を図示しており、本実施形態に係る制御装置１００が実行する処理とは、同期ずれ異常が生じるメカニズムは同じであるが、同期ずれ異常が発生した場合に実行する処理の内容が大きく異なる。本実施形態の制御装置１００が実行する処理は図５に関連して後述する。

【0052】

Ａ系マイコン１ａのメイン処理４１ａ動作と、Ｂ系マイコン１ｂのメイン処理４１ｂ動作は、いずれも正常に動作していれば、同一ステップで動作する。従って、図２の図示内容で見たときに、Ａ系マイコン１ａのメイン処理４１ａと、Ｂ系マイコン１ｂのメイン処理４１ｂとの処理位置は、左右で水平な状態を保つ。

【0053】

同期ずれ異常が発生すると、図２の図示内容で見たときに、Ａ系マイコン１ａのメイン処理４１ａと、Ｂ系マイコン１ｂのメイン処理４１ｂとが左右水平ではなく、どちらか一方の処理が先に進み、水平ではない状態となる。図２に例示した場合では、Ａ系マイコン１ａのメイン処理４１ａが先行している。

【0054】

また、同期ずれ異常を検知するタイミングは、Ａ系マイコン１ａとＢ系マイコン１ｂの処理進行にずれが発生した時点では検知されない。同期ずれ異常は、Ａ系マイコン１ａの動作とＢ系マイコン１ｂの動作とについて比較処理を実行した際に検知される。この比較処理は、本実施形態の制御装置１００においても、この従来技術に係るフェールセーフＣＰＵと同様に実行される。比較処理の詳細については、図３に関連して後述する。

【0055】

なお、詳細は後述するが、本実施形態の制御装置１００においては、このタイミングで同時にＡ系マイコン１ａとＢ系マイコン１ｂとの同期化処理も行われ、同期が取れた後に、データの比較が行われる。この同期化処理の詳細は、図４に関連して後述する。

【0056】

従来技術に係るフェールセーフＣＰＵにおいては、図２に示したように、この状態で同期ずれ異常を検知すると、比較器１１からＡ系マイコン１ａとＢ系マイコン１ｂに対して、Ａ系異常割込２５ａとＢ系異常割込２５ｂとがそれぞれ同時に発行されて、Ａ系異常処理４２ａ、Ｂ系異常処理４２ｂが実行される。異常処理後は、各異常処理内でＡ系永久ループ３３ａと、Ｂ系永久ループ３３ｂとがそれぞれ行われ、通電中であるうちは復帰することはない。

【0057】

（比較処理と同期化処理）
ここで、本実施形態の制御装置１００において実行される、比較処理と同期化処理について、図３と図４を参照しながら説明する。

【0058】

図３は、同期ずれ異常が生じる仕組みを示すシーケンス図である。図３は、比較処理が行われた際に、同期ずれが発生している状態を示している。

【0059】

また、図４は、同期ずれ異常が生じた場合に、本実施形態に係る制御装置１００が実行する同期化処理および比較処理の流れの一例を示すシーケンス図である。図４は、図３で発生している同期ずれを、同期化処理によって合わせこむ動作を示している。

【0060】

前述したように、フェールセーフＣＰＵである制御装置１００においては、Ａ系マイコン１ａとＢ系マイコン１ｂが、同一クロック、同一プログラム、同一ステップで処理を実行する。この時に、重要なデータの入出力（２２ａ、２２ｂ）を行う前に、Ａ系マイコン１ａとＢ系マイコン１ｂでそのデータを比較し、同一ならば正常と判断、もし不同ならば異常と判断する。これにより、誤ったデータではないということを保証する。

【0061】

具体的に比較処理を実行する場合、ある比較対象領域（図３および図４ではＡ系メモリ２ａおよびＢ系メモリ２ｂ）を設けておき、フェールセーフＣＰＵである制御装置１００から入出力（２２ａ、２２ｂ）する重要なデータをその領域へアクセスさせることでデータ比較を行う。その過程で行われるデータの比較が、比較処理である。この動作は、図３と図４のＡ系マイコン１ａおよびＢ系マイコン１ｂのそれぞれの比較処理１と、比較処理２および比較処理４で示す動作が該当する。

【0062】

比較処理は、Ａ系マイコン１ａとＢ系マイコン１ｂが同期している状態が前提であり、それぞれのマイコンがアクセスしたタイミングで実行される。よって、Ａ系マイコン１ａとＢ系マイコン１ｂの同期がずれている状態では、比較はできない。もし比較処理を実行した際に同期がずれている場合、比較をする前に同期を合わせる処理を実行する。これが同期化処理である。この動作は、図３と図４のＡ系マイコン１ａおよびＢ系マイコン１ｂのそれぞれの比較処理３で示す動作が該当する。

【0063】

同期化処理を説明するため、Ａ系マイコン１ａの処理が数サイクル先行している状態(Ｂ系マイコン１ｂが数サイクル遅れた状態)を例にする。この時に比較処理を実行すると、Ａ系マイコン１ａとＢ系マイコン１ｂは数サイクルの同期ずれが発生している状態であるため比較はできない。そのため、処理が先行しているＡ系マイコン１ａに対して、「ＷＡＩＴ(動作停止)」させるＷＡＩＴ制御を行う。このＷＡＩＴ制御は、Ａ系マイコン１ａとＢ系マイコン１ｂを監視する、比較器１１が行う。ＷＡＩＴさせることで、Ａ系マイコン１ａの処理を停止させて、Ａ系マイコン１ａと同じ処理までＢ系マイコン１ｂの処理を進めさせる。Ｂ系マイコン１ｂの処理がＡ系マイコン１ａの処理まで到達すると、Ａ系マイコン１ａへのＷＡＩＴ制御を解除し、処理を進める。

【0064】

以上が、本実施形態に係る制御装置１００が実行する、比較処理と同期化処理である。

【0065】

なお、同期ずれの状態は、数サイクル程度の小さなずれならば、同期化処理で同期合わせをすることが可能である。また、定期的な同期化処理により、数サイクル程度の小さなずれであるうちに同期させておき、大きなずれとなる前に同期ずれの程度を最小限抑えることができる。しかしながら、定期的な同期化は全体の処理負荷が軽い余裕のある状態で行われる処理のため、処理負荷が重い状態では、再同期化処理は行われない。そうなると、数サイクル程度であった同期ずれ状態が蓄積されて、大きな同期ずれ状態となり、Ａ系マイコン１ａとＢ系マイコン１ｂで比較処理が行われたときに、同期化処理ができない程の同期ずれを起こしてしまうことになる。

【0066】

（制御装置１００における処理）
同期ずれ異常が生じた場合に、本実施形態に係る制御装置１００が実行する処理の一例を、図１と図５を用いて説明をする。

【0067】

なお、図１は、本実施形態に係る制御装置１００のハードウェア構成の一例であり、詳細は前述の通りであるため、ここでは説明を省略する。

【0068】

図５は、本実施形態に係る制御装置１００が、同期ずれ異常から復帰し、再び正常に動作するまでの流れの一例を示す図である。

【0069】

なお、図５に示した場合においては、Ａ系マイコン１ａの動作とＢ系マイコン１ｂの動作とについて、同期化で同期合わせできない程の同期ずれ異常が発生した状態であるものとする。

【0070】

Ａ系マイコン１ａのＡ系メイン処理３１ａとＢ系マイコン１ｂのＢ系メイン処理３１ｂは、同期ずれ状態にあり比較処理が実行されてから、同期合わせができない程のずれが生じているため同期ずれ異常として、比較器１１よりＡ系マイコン１ａ、Ｂ系マイコン１ｂに対してそれぞれＡ系異常割込２５ａ、Ｂ系異常割込２５ｂが発行され、それぞれＡ系異常処理３２ａ、Ｂ系異常処理３２ｂに分岐する。

【0071】

なお、ここで、従来技術に係るフェールセーフＣＰＵでは、前述したように、異常処理の実行後は当該異常処理内で永久ループし、通電状態にあるうちは復帰することがない。

【0072】

これに対して、本発明では、Ａ系異常処理４２ａ内にＡ系再同期フラグ４３ａを、Ｂ系異常処理４２ｂ内にＢ系再同期フラグ４３ｂをそれぞれ設け、同期ずれ異常でＡ系異常処理４２ａと、Ｂ系異常処理４２ｂとに分岐した場合に、このＡ系再同期フラグ４３ａ、および、Ｂ系再同期フラグ４３ｂをそれぞれ有効にし、各系の処理をそれぞれＡ系メイン処理４１ａ、および、Ｂ系メイン処理４１ｂに復帰させる。

【0073】

復帰したＡ系メイン処理４１ａ内、および、Ｂ系メイン処理４１ｂ内には、Ａ系再同期フラグ４３ａをチェックするＡ系同期フラグチェックポイント４４ａと、Ｂ系再同期フラグ４３ｂをチェックするＢ系同期フラグチェックポイント４４ｂとを設け、そのＡ系同期フラグチェックポイント４４ａ、および、Ｂ系同期フラグチェックポイント４４ｂで、Ａ系再同期フラグ４３ａ、および、Ｂ系再同期フラグ４３ｂがそれぞれ有効であった場合には、Ａ系メイン処理４１ａ内のＡ系ループ処理４６ａと、Ｂ系メイン処理４１ｂ内のＢ系ループ処理４６ｂへと分岐する。

【0074】

Ａ系ループ処理４６ａ、Ｂ系ループ処理４６ｂ内では、Ａ系異常割込２５ａ、Ｂ系異常割込２５ｂをマスクして同期化処理を何度も実行し、同期が取れることを待つ。なお、本実施形態の制御装置１００においては、２つの系の処理について同期が取れているか否かのチェックを、ハードレジスタを用いて行う。

【0075】

遅れた系が進んでいる系に追いつくと、２つの系の間で同期を合わせることができ、Ａ系メイン処理リターン４７ａ、および、Ｂ系メイン処理リターン４７ｂで戻ることができる。この時には、Ａ系マイコン１ａのＡ系メイン処理４１ａと、Ｂ系マイコン１ｂのＢ系メイン処理４１ｂとでは同期が取れている状態となり、オンライン動作に復帰することが可能になる。

【0076】

なお、以上の本実施形態の説明は、制御装置１００が２つのマイコン（１ａ、１ｂ）を備える２重系装置であるものとして行ったが、制御装置は多重系のフェールセーフＣＰＵであればよく、冗長化の具体的な度合は、適宜に変更されてよい。例えば、上述の各種処理を実行する制御装置は、３重系のフェールセーフＣＰＵであってもよいし、４重系以上のフェールセーフＣＰＵであってもよい。鉄道保安装置である制御装置の冗長性を高めた場合には、当該鉄道システムの安全性や信頼性をより高くすることができる。

【0077】

以上説明した本発明の実施形態は、以下のように総括される。

【0078】

（１）制御装置１００は、２つ以上のマイコン（１ａ、１ｂ）を備えるフェールセーフＣＰＵからなる装置であって、２つ以上のマイコン（１ａ、１ｂ）の動作間で生じた同期ずれ異常を検知する異常検知部と、異常検知部が同期ずれ異常を検知した場合に、２つ以上のマイコン（１ａ、１ｂ）の各々の動作をそれぞれ異常処理モード（４２ａ、４２ｂ）へと移行させ、当該異常処理モード（４２ａ、４２ｂ）において、当該同期ずれ異常を解消するための再同期フラグ（４３ａ、４３ｂ）を有効にし、再同期フラグ（４３ａ、４３ｂ）が有効ならば、２つ以上のマイコン（１ａ、１ｂ）の各々が実行する処理をそれぞれループ処理（４６ａ、４６ｂ）へと移行させ、当該ループ処理（４６ａ、４６ｂ）内で、２つ以上のマイコン（１ａ、１ｂ）の動作同士について再び同期を確立したときに、当該２つ以上のマイコン（１ａ、１ｂ）の各々が実行する処理をそれぞれメイン処理（４１ａ、４１ｂ）へと復帰させる処理を行う処理部とを有することを特徴とする。制御装置１００は、多重系装置であることによって、制御対象であるシステムの安全性や信頼性を高くすることができる。また、このようにしたので、制御装置１００は、同期ずれ異常の発生原因が軽微な場合には、制御装置１００の制御対象であるシステムの停止を回避して、当該システムの稼働率を向上させることができる。その結果、当該システムにおいて、安全性や信頼性の高さと、稼働率の高さとを両立することができる。

【0079】

（２）制御装置１００は、２つのマイコン（１ａ、１ｂ）を備える２重系装置である。このようにしたので、制御装置１００は、制御装置１００の制御対象であるシステムについて高い安全性や信頼性を実現しつつ、制御装置１００の物理的な大きさをコンパクトにすることができる。その結果、制御装置１００をさまざまな箇所に設置することができるとともに、制御装置１００の製造コストを低廉にすることができる。

【0080】

（３）制御装置１００は、鉄道システムにおいて地上装置の動作を制御する鉄道保安用の電子連動装置である。このようにしたので、制御装置１００は、同期ずれ異常の発生原因が軽微な場合には、制御装置１００の制御対象である、当該鉄道システム中の各地上装置の停止を回避して、当該鉄道システムの稼働率を向上させることができる。その結果、当該鉄道システムにおいて、安全性や信頼性の高さと、稼働率の高さとを両立することができる。

【0081】

（４）地上装置は、信号灯である。このようにしたので、制御装置１００は、同期ずれ異常の発生原因が軽微な場合には、制御装置１００の制御対象である、当該鉄道システム中の信号灯の停止を回避して、当該鉄道システムの稼働率を向上させることができる。その結果、当該鉄道システムにおいて、安全性や信頼性の高さと、稼働率の高さとを両立することができる。

【0082】

（５）地上装置は、転てつ機である。このようにしたので、制御装置１００は、同期ずれ異常の発生原因が軽微な場合には、制御装置１００の制御対象である、当該鉄道システム中の転てつ機の停止を回避して、当該鉄道システムの稼働率を向上させることができる。その結果、当該鉄道システムにおいて、安全性や信頼性の高さと、稼働率の高さとを両立することができる。

【0083】

なお、本発明は上記実施形態に限定されるものではなく、その要旨を逸脱しない範囲内で、任意の構成要素を用いて実施可能である。

【0084】

上記の実施形態や実施例、変形例はあくまで一例であり、発明の特徴が損なわれない限り、本発明はこれらの内容に限定されるものではない。また、上記では種々の実施形態や実施例、変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。

【0085】

上記の各図において、制御線や情報線は説明上必要と考えられるものを示しており、必ずしも実装上の全ての制御線や情報線を示しているとは限らない。例えば、実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【0086】

また、以上に説明した制御装置１００の各機能部の配置形態は一例に過ぎない。各機能部の配置形態は、制御装置１００が備えるハードウェアやソフトウェアの性能、処理効率、通信効率等の観点から最適な配置形態に変更し得る。

【符号の説明】

【0087】

１００：制御装置（フェールセーフＣＰＵ）
１ａ Ａ系マイコン
１ｂ Ｂ系マイコン
２ａ Ａ系メモリ
２ｂ Ｂ系メモリ
３ａ Ａ系Ｉ／Ｏ
３ｂ Ｂ系Ｉ／Ｏ
４ａ Ａ系マイコンバス
４ｂ Ｂ系マイコンバス
５ａ Ａ系回路
５ｂ Ｂ系回路
２１ａ Ａ系ステータス
２１ｂ Ｂ系ステータス
２２ａ Ａ系入出力
２２ｂ Ｂ系入出力
１１ 比較器
２３ａ Ａ系割込信号
２３ｂ Ｂ系割込信号
２４ａ Ａ系ウェイト
２４ｂ Ｂ系ウェイト
２５ａ Ａ系異常割込
２５ｂ Ｂ系異常割込
３１ａ、４１ａ Ａ系メイン処理
３１ｂ、４１ｂ Ｂ系メイン処理
３２ａ、４２ａ Ａ系異常処理
３２ｂ、４２ｂ Ｂ系異常処理
３３ａ Ａ系永久ループ
３３ｂ Ｂ系永久ループ
４６ａ Ａ系ループ処理
４６ｂ Ｂ系ループ処理
４５ａ Ａ系ループ処理分岐
４５ｂ Ｂ系ループ処理分岐
４４ａ Ａ系再同期フラグチェックポイント
４４ｂ Ｂ系再同期フラグチェックポイント
４７ａ Ａ系メイン処理リターン
４７ｂ Ｂ系メイン処理リターン
４３ａ Ａ系再同期フラグ
４３ｂ Ｂ系再同期フラグ

【図1】

【図2】

【図3】

【図4】

【図5】