JP6830407B2 - 車両制御装置 - Google Patents

Description

本発明は、鉄道車両の制御装置、特に健全性確認機能を備えた制御装置に関する。

鉄道保安システムのように高信頼性が求められるシステムにおいては、鉄道保安に関する、例えば列車制御装置（制御部）の故障による通信回路を通じた暴走や誤出力が、有線や無線に関わらず、同一回線に接続されている装置やシステムに影響しないようにする必要がある。

加えて、車両の各装置から取り込む入力信号に関しても、保安に関する信号を取り扱うことから、高い信頼性が求められつつある。このことから、入力信号に関する健全性を確認することが必要である。

こうした健全性を確認する手法としては、たとえば以下に挙げる特許文献１に示すように、取得した装置の状態と規定あるいは想定された装置の状態を比較することによる健全性確認手法などがある。

特開２０１５−３３１７９号公報

特許文献１に開示の技術では、所定の判定実施条件、たとえば車両の走行速度が所定値に達した時に健全性の確認を行う。しかしながらこのような確認方法を採用した場合、判定実施条件に該当しないタイミングで発生する異常を検知できないという問題がある。

本発明の一実施形態に係る車両制御装置は、鉄道車両に設置される１以上の車上機器の制御を行う制御部と、制御部と車上機器との間の通信を仲介するインタフェース部と、を有する。インタフェース部は、車上機器が送出する信号を取り込む入力信号取込部を有している。制御部は、車上機器または入力信号取込部における異常の発生を判断するためのフェイルセーフ演算部を有し、フェイルセーフ演算部は、車上機器が送出する信号の健全性を確認するために用いられる信号である比較信号を記憶している。

制御部は、ランダムな周期で健全性確認電文をインタフェース部に送信し、インタフェース部は健全性確認電文を受信すると、入力信号取込部に規定の異常を発生させた状態で車上機器が送出する信号を取得して制御部に返送する。フェイルセーフ演算部は、インタフェース部から返送された信号と比較信号が不一致の場合、車上機器または入力信号取込部に異常が発生した旨を通知する。

本発明に係る列車保安装置によれば、従来検知できなかった装置の異常を検知でき、装置の信頼性、安全性の向上に寄与することができる。

本発明の装置構成図である。 出力信号送信処理のフローチャートである。 インタフェース部が送信電文を受信した時に行う処理のフローチャートである。 健全性確認のフローチャートである。 送信電文と返信電文のフォーマット例である。

以下、本発明の一実施形態について図面を用いて説明する。

図１は、本実施例に係る車両制御装置（列車保安システム）の構成を示している。車両制御装置は、鉄道車両に備えられているインバータ装置、自動列車制御装置（ＡＴＣ）車上装置、或いは空調装置等の、各種の車上機器７の制御を行うために、鉄道車両に搭載される装置である。なお図１では、本実施例で主に説明される車両制御装置における健全性確認方法と直接的に関係しない構成物（たとえば鉄道車両の車体など）の記載は略している。

車両制御装置は少なくとも、制御部２とインタフェース部６を有する装置で、制御部２とインタフェース部６は伝送路４を介して互いに通信可能に接続されている。制御部２は、鉄道車両の各車上機器７に対して制御信号を送信することで、各車上機器７の制御を行う。車上機器７は、制御部２から受領した制御信号の内容に応じた動作を行うとともに、信号を制御部２に返送する機能を有している。以下では、制御部２が車上機器７に対して送信する信号を「出力信号」と呼び、車上機器７から制御部２に送信する信号を「入力信号」と呼ぶ。

また制御部２は図１に示されるように、フェイルセーフ演算部１と通信部３を有する。フェイルセーフ演算部１は故障を検知し故障検知信号を出力することのできる故障検知回路を含む。フェイルセーフ演算部１の具体的な動作は後述する。通信部３は、制御部２が車上機器７との間で信号をやり取りする際に用いられる。

インタフェース部６は、制御部２と各車上機器７との間の通信を仲介するための装置である。図１に示すとおり、インタフェース部６は通信部５と入力信号取込部９を有し、各車上機器７は入力信号取込部９を介してインタフェース部６に接続される。図１では、複数の車上機器７が１つの入力信号取込部９に接続されている構成が示されているが、別の実施形態として、インタフェース部６が車上機器７の数と同数の入力信号取込部９を有し、１つの入力信号取込部９に１つの車上機器７が接続される構成であってもよい。また通信部５は、インタフェース部６が伝送路４を通じて制御部２との通信を行うための装置である。

制御部２とインタフェース部６は一定の周期ごとに信号（電文）の送受信（双方向通信）を行っている。制御部２とインタフェース部６の間でやり取りされる通信データ（電文）のフォーマット例を図５に示す。図５（ａ）は、制御部２からインタフェース部６に出力信号を送信する際に用いる電文（送信電文と呼ぶ）のフォーマット例で、図５（ｂ）は、インタフェース部６が車上機器７の入力信号を制御部２に送信する時に用いる電文（返信電文と呼ぶ）のフォーマット例である。

まず図５（ａ）の送信電文について説明する。通信情報２０２には、制御部２がインタフェース部６を介して車上機器７に送信する制御信号（制御情報）が格納される。制御情報は、車上機器７に対する制御指示や、制御指示を送信すべき車上機器７の識別子等を含む。一方健全性確認フラグ２０１は、制御部２がインタフェース部６に対して、信号の健全性確認を行わせる際に用いられる。制御部２がインタフェース部６に健全性確認の実施を指示するとき、健全性確認フラグ２０１がセットされた（健全性確認フラグ２０１に“１”が記録された）送信電文を送信する。逆にインタフェース部６に健全性確認を行わせないときには、制御部２は健全性確認フラグ２０１がセットされていない送信電文（具体的には、健全性確認フラグ２０１に“０”が格納された送信電文）を送信する。詳細は後述する。なお、以下では送信電文のうち、健全性確認フラグ２０１に“１”の記録された送信電文を「健全性確認電文」と呼ぶこともあり、そうでない電文（健全性確認フラグ２０１に“０”の記録された送信電文）を、「通常の送信電文」と呼ぶこともある。

図５（ｂ）の返信電文も、送信電文と同様のフォーマットであり、健全性確認実施済フラグ６０１と通信情報６０２を含んでいる。通信情報６０２は、車上機器７からの入力信号が格納される領域である。健全性確認実施済フラグ６０１は、インタフェース部６が健全性確認を実施したか否かを表す情報で、健全性確認実施済フラグ６０１が“１”の時、インタフェース部６が健全性確認処理を実施したことを表し、逆に健全性確認実施済フラグ６０１が“０”の時、インタフェース部６が健全性確認処理を実施していないことを表す。

続いて、健全性確認が行われるまでの処理の流れを、図２以降の図面を用いて説明する。以下で説明される各図において、参照番号の前に付されているアルファベットの“Ｓ”は、「ステップ」を意味する。

図２は、制御部２で行われる出力信号送信処理の流れ図である。制御部２は、図２のステップ１００〜ステップ１０４の処理を定期的に実行する。以下では、この処理の実行周期がＴ［秒］の例（Ｔ秒に１回、ステップ１００〜ステップ１０４が行われる）を説明する。

まずステップ１００で、制御部２は送信電文を作成する。具体的にはここでは通信情報２０２に送信すべき情報が作成され、また健全性確認フラグ２０１には“０”の格納された送信電文が作成される。

続いてステップ１０１でフェイルセーフ演算部１は乱数を生成する。フェイルセーフ演算部１は一様乱数を生成する機能を有し、ステップ１０１では１以上Ｎ（Ｎは２以上の整数）以下の整数を生成するものとする。

続いてフェイルセーフ演算部１は、前回健全性確認電文の送信を行ってから（具体的には、前回ステップ１０３を実行してから）、乱数で決定された周期が経過したか判定する（ステップ１０２）。たとえばフェイルセーフ演算部１は、ステップ１０１で生成された乱数がｎ（ｎは１≦ｎ≦Ｎを満たす整数）の時、前回健全性確認電文の送信を行ってから（Ｔ×ｎ）秒以上経過したかを判定するとよい。

前回健全性確認電文の送信を行ってから（Ｔ×ｎ）秒以上経過していた場合（ステップ１０２：ＹＥＳ）、フェイルセーフ演算部１はステップ１００で作成された送信電文の健全性確認フラグ２０１を“１”に変更する（ステップ１０３）。逆にステップ１０２の判定がＮＯの場合、送信電文の健全性確認フラグ２０１の変更は行われない。その後制御部２は、通信部３を用いて送信電文をインタフェース部６へ送信する（ステップ１０４）。ステップ１０４の後、制御部２は一定時間（たとえばＴ秒）待機（ステップ１０５）した後、再びステップ１０１を実行する。

制御部２は以上の処理を行うことで、健全性確認電文をランダムな周期でインタフェース部６に送信する。なお、ステップ１０１は必ずしも毎回実行されなくてもよい。フェイルセーフ演算部１は、１回ステップ１０１を実行（乱数を生成）すると、ステップ１０３（健全性確認フラグ２０１がセットされた送信電文［健全性確認電文］の作成）が実行されるまでは、ステップ１０１の実行をスキップして良い。

図３は、インタフェース部６が制御部２から送信されてくる送信電文の処理を行う時の流れ図である。図３の処理は制御部２から送信電文が送られて来るたびに実行される。

ステップ１１１でインタフェース部６は制御部２からの送信電文を受信し、通信情報２０２の内容に応じて、制御指示の送信先の車上機器７に制御指示を送信する。この結果、車上機器７は制御指示に基づいた動作・処理を行うが、これは公知の処理のため、説明は略す。

続いてインタフェース部６は、健全性確認電文を受信したか確認する（ステップ１１２）。具体的にはインタフェース部６は、ステップ１１１で受信した送信電文中の健全性確認フラグ２０１が“１”か確認し、健全性確認フラグ２０１が“１”の場合（ステップ１１２：ＹＥＳ）、インタフェース部６は入力信号取込部９に規定の異常状態を発生させ、車上機器７から取り込まれる入力信号にエラーを混入させる（ステップ１１３）。

入力信号取込部９に規定の異常状態を発生させるための方法は、特定の方法に限定されない。たとえば入力信号取込部９のコモン電流をカットする等の方法が用いられるとよい。ただし、ここで異常状態を発生させた場合に、入力信号に混入するエラーは毎回同じである（再現性がある）ことが必要であり、ステップ１１３ではそのような異常状態を発生させることを前提とする。健全性確認フラグ２０１が“０”の場合（ステップ１１２：ＮＯ）、ステップ１１３はスキップされる。

ステップ１１２（またはステップ１１３）の後、インタフェース部６は入力信号取込部９を介して車上機器７からの入力信号を取り込む（ステップ１１４）。なお、ステップ１１３が実行された場合には、インタフェース部６は入力信号取込部９に規定の異常状態を発生させた状態のまま、入力信号を取り込むことになる。

ステップ１１５ではインタフェース部６は、ステップ１１４で取り込んだ入力信号を含む返信電文を作成し、制御部２に送信し、処理を終了する。なお、ステップ１１２で健全性確認フラグ２０１が“１”だった場合、インタフェース部６はステップ１１５で、健全性確認実施済フラグに“１”の格納された返信電文を作成する。一方健全性確認フラグ２０１が“０”だった場合、インタフェース部６はステップ１１５で、健全性確認実施済フラグに“０”の格納された返信電文を作成する。

図４は、制御部２がフェイルセーフ演算部１を用いて行う、健全性確認処理の流れ図である。この処理は、制御部２がインタフェース部６から返信電文を受信するたびに行われる。

フェイルセーフ演算部１は、インタフェース部６から受信した返信電文の健全性確認実施済フラグに“１”が設定されていなければ（ステップ１２１：ＮＯ）、通常の処理（返信電文の内容に基づいた処理）を行う（ステップ１２５）。この処理は健全性確認処理と直接の関係はないため、説明を略す。

一方、返信電文の健全性確認実施済フラグに“１”が設定されていれば（ステップ１２１：ＹＥＳ）、フェイルセーフ演算部１は返信電文が異常か否か判定する（ステップ１２２）。フェイルセーフ演算部１は、入力信号取込部９に規定の異常状態を発生させた場合に（ただし車上機器７やインタフェース部６を構成する各種ハードウェアに故障が発生していないことが前提である）、各車上機器７から返信されてくる入力信号（返信電文）の想定値をあらかじめ記憶している（以下、この入力信号の想定値を「比較信号」と呼ぶ）。ステップ１２２ではフェイルセーフ演算部１は、返信電文の通信情報６０２に含まれている情報（入力信号）と、この予めフェイルセーフ演算部１に記憶されていた比較信号とを比較する（ステップ１２３）。

フェイルセーフ演算部１は、ステップ１２３における比較の結果、両者が不一致であれば、インタフェース部６（の一部または全体）あるいは送信電文の送信先である車上機器７に異常が発生していると判断し、その旨を鉄道車両の運転士や作業員等に通知する（ステップ１２４）。あるいは、制御部２に車上機器７または入力信号取込部９に異常が発生した旨を記憶するための記憶媒体を搭載しておき、フェイルセーフ演算部１は異常が発生したと判断した場合に、異常が発生した旨の情報を記憶媒体に保存してもよい。もちろん異常が発生した旨の通知と、異常が発生した旨の情報の保存の両方が行われてもよい。一方、ステップ１２３の判定が肯定的な場合、つまり返信電文に含まれている入力信号と比較信号が一致する場合は、フェイルセーフ演算部１は何もせず、処理を終了する。

なお、インタフェース部６に、電文を返信できないような故障が発生している場合、制御部２が図２の処理を実行することで健全性確認フラグ２０１が“１”の送信電文をインタフェース部６に送信しても、インタフェース部６から返信電文が返送されない。そのため制御部２は、送信電文の送信後、決められた時間以内にインタフェース部６から返信電文が返送されてこない場合にも、異常が発生していると判断し、その旨を鉄道車両の運転士や作業員等に通知するとよい。

本実施例に係る車両制御装置は、上に述べた構成・機能を有することにより、インタフェース部６が取得する各車上機器７からの入力信号および入力信号取込処理の健全性を確認することができる。

また本実施例に係る車両制御装置は、健全性の確認を（あらかじめ定められた契機で行うのではなく）ランダムな周期で行うので、従来は検知できなかった異常状態を検知することが可能となり、信頼性および安全性を向上させることができる。さらにインタフェース部６がフェイルセーフ演算部１を有していなくとも健全性確認を行うことができる。

以上、本発明の実施の形態を説明したが、具体的な構成は実施の形態に示したものに限られるものではなく、本発明の要旨を逸脱しない範囲における変更や追加があっても本発明に含まれる。

上で説明した実施例では、フェイルセーフ演算部１が健全性確認指示を行うタイミングは乱数により健全性確認指示を行う周期を決定しているが、非周期的に行う方法は乱数に限られるものではなく、非周期的に発生するイベント処理をトリガとする場合においても本発明の非周期的な健全性確認は実現可能である。

加えて、実施例では制御部２とインタフェース部６が伝送路４を介して通信を行う例を説明したが、伝送路４に用いられる通信媒体は特定のものに限定されない。たとえば制御部２とインタフェース部６が無線通信を行う構成でもよい、つまり伝送路４は有線通信媒体に限定されない。制御部２とインタフェース部６の双方向通信が実現可能な伝送媒体であれば、任意の伝送路が用いられて良い。

１：フェイルセーフ演算部
２：制御部
３：通信部
４：伝送路
５：通信部
６：インタフェース部
７：車上機器
９：入力信号取込部

Claims (10)

1. 鉄道車両に設置される１以上の車上機器の制御を行う制御部と、
   前記制御部に伝送路を介して接続され、前記制御部と前記車上機器との間の通信を仲介するインタフェース部と、を有する車両制御装置であって、
   前記インタフェース部は、前記車上機器が送出する信号を取り込む入力信号取込部を有し、
   前記制御部は、前記車上機器または前記入力信号取込部における異常の発生を判断するためのフェイルセーフ演算部を有し、
   前記フェイルセーフ演算部は、前記車上機器が送出する信号の健全性を確認するために用いられる信号である比較信号を記憶しており、
   前記制御部は、ランダムな周期で、健全性確認電文を前記インタフェース部に送信し、
   前記インタフェース部は、前記健全性確認電文を受信すると、前記入力信号取込部に規定の異常を発生させた状態で前記車上機器が送出する信号を取得し、当該信号を含む返信電文を前記制御部に返送し、
   前記制御部は、前記フェイルセーフ演算部を用いて、前記返信電文に含まれている前記信号と前記比較信号との比較を行い、当該信号と当該比較信号とが不一致の場合、前記車上機器または前記入力信号取込部に異常が発生した旨を通知する、
   ことを特徴とする、車両制御装置。
2. 前記制御部は、一定の周期Ｔ［秒］毎に、自らが前記健全性確認電文であるか否かを示すフラグを含む電文を前記インタフェース部に送信する、
   ことを特徴とする、請求項１に記載の車両制御装置。
3. 前記フェイルセーフ演算部は、
   （１） 乱数ｎを生成し、
   （２） 前記制御部が前回、前記健全性確認電文を送信してから、ｎ×Ｔ［秒］以上経過している場合に、前記制御部が前記インタフェース部に送信する前記電文の前記フラグに当該電文が前記健全性確認電文であることをセットし、
   前記制御部は、前記一定の周期Ｔ［秒］毎に前記電文を送信する中で、前記フェイルセーフ演算部が前記（１）および（２）の処理を実行することにより、前記ランダムな周期で前記健全性確認電文の送信を実施する、
   ことを特徴とする、請求項２に記載の車両制御装置。
4. 前記返信電文には、前記健全性確認電文に対する応答を含む電文か否かを示す健全性確認実施済フラグが含まれており、
   前記インタフェース部は、前記規定の異常を発生させた状態で前記車上機器が送出する信号を含む前記返信電文を前記制御部に返送する時に、前記健全性確認実施済フラグをセットし、
   前記フェイルセーフ演算部は、前記返信電文に含まれている前記健全性確認実施済フラグがセットされている場合、当該返信電文に含まれている前記信号と前記比較信号との比較を行う、
   ことを特徴とする、請求項２に記載の車両制御装置。
5. 前記制御部は、前記健全性確認電文を前記インタフェース部に送信してから、所定の時間以内に前記インタフェース部から前記返信電文を受領しなかった場合、異常が発生したと判断する、
   ことを特徴とする、請求項１に記載の車両制御装置。
6. 鉄道車両に設置される１以上の車上機器の制御を行う制御部と、
   前記制御部に伝送路を介して接続され、前記制御部と前記車上機器との間の通信を仲介するインタフェース部と、を有する車両制御装置の健全性確認方法であって、
   前記インタフェース部は、前記車上機器が送出する信号を取り込む入力信号取込部を有し、
   前記制御部は、前記車上機器または前記入力信号取込部における異常の発生を判断するためのフェイルセーフ演算部を有し、
   前記フェイルセーフ演算部は、前記車上機器が送出する信号の健全性を確認するために用いられる信号である比較信号を記憶しており、
   （１） 前記制御部が、ランダムな周期で、健全性確認電文を前記インタフェース部に送信する第１ステップと、
   （２） 前記インタフェース部が、前記健全性確認電文の受信に応じて、前記入力信号取込部に規定の異常を発生させた状態で前記車上機器が送出する信号を取得し、当該信号を含む返信電文を前記制御部に返送する第２ステップと、
   （３） 前記フェイルセーフ演算部が、前記制御部に返送された前記返信電文に含まれている前記信号と前記比較信号との比較を行い、当該信号と当該比較信号とが不一致の場合、前記車上機器または前記入力信号取込部に異常が発生した旨を通知する第３ステップと、
   を実行することを特徴とする、車両制御装置の健全性確認方法。
7. 前記制御部は、一定の周期Ｔ［秒］毎に、自らが前記健全性確認電文であるか否かを示すフラグを含む電文を前記インタフェース部に送信する、
   ことを特徴とする、請求項６に記載の車両制御装置の健全性確認方法。
8. 前記第１ステップにおいて、
   前記フェイルセーフ演算部が、
   （４） 乱数ｎを生成し、
   （５） 前記制御部が前回、前記健全性確認電文を送信してから、ｎ×Ｔ［秒］以上経過している場合に、前記制御部が前記インタフェース部に送信する前記電文の前記フラグに当該電文が前記健全性確認電文であることをセットし、
   前記制御部は、前記一定の周期Ｔ［秒］毎に前記電文を送信する中で、前記フェイルセーフ演算部が前記（４）および（５）の処理を実行することにより、前記ランダムな周期で前記健全性確認電文の送信を実施する、
   ことを特徴とする、請求項７に記載の車両制御装置の健全性確認方法。
9. 前記返信電文には、前記健全性確認電文に対する応答を含む電文か否かを示す健全性確認実施済フラグが含まれており、
   前記第２ステップにおいて前記インタフェース部は、前記返信電文の前記健全性確認実施済フラグをセットし、
   前記第３ステップにおいて前記フェイルセーフ演算部は、前記返信電文に含まれている前記健全性確認実施済フラグがセットされている場合、当該返信電文に含まれている前記信号と前記比較信号との比較を行う、
   ことを特徴とする、請求項７に記載の車両制御装置の健全性確認方法。
10. 前記制御部が、前記健全性確認電文を前記インタフェース部に送信してから、所定の時間以内に前記インタフェース部から前記返信電文を受領しなかった場合、異常が発生したと判断する第４ステップと、
    を実行することを特徴とする、請求項６に記載の車両制御装置の健全性確認方法。

Images