具有失效保護功能的控制器及其自動列車控制器和系統的製作方法
2023-11-09 11:06:47
專利名稱：具有失效保護功能的控制器及其自動列車控制器和系統的製作方法
本申請是1995年12月28日提交的申請號為95120944.2的專利申請的分案申請。
另一方面，這些交通工具必須安全運行，強烈要求控制器具有可靠性及失效保護(當故障發生時，必須危險方無輸出)。
例如，通過例如ATC(自動列車控制)裝置和ATS裝置之類的高級保安系統可確保列車運行的安全性。
如用於超高速列車保安系統的ATP裝置的例子所示，在國內、外，其可靠性和失效保護均獲好評。
列車的ATP裝置和ATS裝置包括以具有自檢功能的LSI為主體的控制電路和繼電器。用於這些裝置的主信號是其中邏輯電平交替變為「H」或「L」的頻率信號(以後稱為交變信號)。
控制電路比較和處理來自地面的ATP速度指令信號和接收該ATP信號時的列車實際速度信號，由速度控制信號(即，根據ATC信號和實際速度信號的差的制動指令信號)控制制動力，並控制列車速度。
用於產生這種交變信號的裝置已在公開號為57-62702的日本專利申請中加以描述。
近來，正在建設中央控制指令室和列車之間傳送列車運行信息(例如，列車速度和位置)和列車之間交換信息的系統，以改進運輸服務，因而要求高密度列車運行及高速度列車運行的控制。
為了響應這些要求，僅靠目前使用的控制器及其使用的LSI，在處理速度和數據存儲容量方面顯得不足，為了彌補其缺陷，必須增加許多外圍電路，從而該控制器變得複雜。
由於近來半導體技術的顯著進步並已實現了高集成度及高處理速度，具有各種功能的控制電路已能包括在一塊LSI晶片中。
但是，在這樣構成的LSI中，存在一個問題由於內部形成的布線間的混合接觸，輸出錯誤的控制信號或輸出經發生斷線故障的布線及與其鄰近布線間的分布電容而產生的信號，這時，儘管LSI本身已產生故障，但控制信號仍會被認為正常而加以輸出。
何況，對於列車控制，LSI的使用環境與LSI用於公共福利時的使用環境相比是極其惡劣的。
當由於LSI製造過程中內部混合接觸或斷線或由於使用期間內部混合接觸或斷線而輸出錯誤信號或作為速度控制關鍵的制動指令信號不輸出時，產生一系列問題，引起一系列意外。
必須以與未來各種控制相應的LSI構成控制電路，它滿足與這些控制相應的功能，改進檢測LSI自身故障的自檢功能且當故障產生時滿足用於在安全側進行控制的失效保護控制。
本發明包括把ATP指令速度信號轉換成頻率的指令速度頻率轉換裝置；把所述指令速度頻率轉換裝置的輸出信號轉換成數字數據的第一數據轉換裝置；把電動機車的實際速度轉換成頻率的速度頻率轉換裝置；把所述速度頻率轉換裝置的輸出信號轉換成數字數據的第二數據轉換裝置；根據所述第一數據轉換裝置的輸出數據和所述第二數據轉換裝置的輸出數據間的差，輸出制動指令信號的制動指令輸出裝置；把制動指令輸出裝置雙重化為LSI內部的系統A和系統B的裝置；把相應於ATC指令速度信號的第一數據和相應於電動機車實際速度的第二數據同時輸入至雙重化LSI的系統A和系統B的電路的裝置；產生第一控制數據和第二控制數據的裝置，第一控制數據在第一數據的基礎上附加當把生成多項式設成G0(X)時的CRC數據，第二控制數據在第一數據的基礎上附加當把生成多項式設成G1(X)時的CRC數據；選擇第一控制數據和第二控制數據之一的切換裝置；用相應於生成多項式G0(X)且並聯連接的第一故障檢測器和相應於生成多項式G1(X)的第二故障檢測器校驗切換裝置的輸出信號錯誤的裝置；比較系統A的第一故障檢測器的輸出和第二故障檢測器輸出的比較裝置；比較系統B的第一故障檢測器輸出和第二故障檢測器輸出的比較裝置；用系統A的比較裝置的輸出信號控制系統B的切換裝置並選擇第一控制數據或第二控制數據的裝置；使系統B的比較裝置輸出信號的符號反轉的符號反轉裝置；用系統B的符號反轉裝置的輸出信號控制系統A的切換裝置並選擇第一控制數據或第二控制數據的裝置。
本發明還包括使雙重化電路的系統A和系統B相互分開的裝配和布線裝置；拓寬系統A的比較裝置的輸出信號和系統B的比較裝置的輸出信號配置間隔及布線間隔的裝置。
系統A和系統B的第一控制數據由第一故障檢測器判定為正常，其輸出信號為「L」，反之，由第二故障檢測器判定為異常，則其輸出信號為「H」。第二控制數據由第一故障檢測器判定為異常，其輸出信號為「H」，反之由第二故障檢測器判定為正常，則其輸出信號為「L」。
在動作開始時，在系統A中，選擇第一控制數據，在系統B中，選擇第二控制數據。
因而，系統A的第一控制數據由第一故障檢測器和第二故障檢測器校驗，第一故障檢測器的輸出信號「L」和第二故障檢測器的輸出信號「H」由系統A的比較裝置比較；系統B的切換裝置由上述條件下獲得的比較輸出信號「H」控制，並將第二控制數據切換至第一控制數據。
當第二控制數據切換至第一控制數據時，第一故障檢測器的輸出信號「L」和第二故障檢測器的輸出信號「H」，由系統B的比較裝置比較，在該條件下獲得的比較輸出信號「H」由符號反轉裝置將符號反轉變為「L」；控制系統A的切換裝置，並將第一控制數據切換為第二控制數據。
當第一控制數據切換為第二控制數據時，第一故障檢測器的輸出信號「H」和第二故障檢測器的輸出信號「L」，由系統A的比較裝置比較；系統B的切換裝置由在該條件下獲得的比較輸出信號「L」控制，並將第一控制數據切換成第二控制數據。
當第一控制數據切換成第二控制數據時，第一故障檢測器的輸出信號「H」和第二故障檢測器的輸出信號「L」由系統B的比較裝置比較，且在該條件下獲得的比較輸出信號「L」由符號反轉裝置將符號反轉變為「H」；控制系統A的切換裝置，並將第二控制數據切換成第一控制數據。
當第二控制數據切換為第一控制數據時，第一故障檢測器的輸出信號「L」和第二故障檢測器的輸出信號「H」，由系統A的比較裝置比較；系統B的切換裝置由在該條件下獲得的比較輸出信號「H」控制，並將第二控制數據切換為第一控制數據。
當第二控制數據切換為第一控制數據時，第一故障檢測器的輸出信號「L」和第二故障檢測器的輸出信號「H」由系統B的比較裝置比較；該條件下獲得的比較輸出信號「H」的符號由符號反轉裝置反轉變為「L」；控制系統A的切換裝置，並將第二控制數據切換為第一控制數據。
如上所述，通過由系統自身的動作而獲得的信號，控制對立系統的切換裝置。因而，若控制數據、故障檢測器、比較裝置和切換裝置正常，系統A和系統B的切換裝置的輸出信號以固定周期交替變化。但是，若其中之一產生故障，系統A和系統B的切換裝置的交變信號停止。
監測切換裝置的交變信號的變化。
當雙重化電路的系統A和系統B相互分開配置和布線且加寬用於比較系統A的比較裝置的輸出信號和系統B的比較裝置的輸出信號的另一比較裝置的設置間隔和布線間隔時，能防止例如系統A的故障影響系統B(它們工作得似乎是正常的)，或應輸出的制動指令信號不輸出，而輸出不要求輸出的制動指令信號。
圖1是本發明實施例的示意圖；圖2是本發明控制器實施例的示意圖；圖3是數據配置圖；圖4是頻率比較操作的概念圖；圖5示意操作序號和故障信號波形；圖6是頻率核對器的示意圖；圖7是頻率核對器的時間圖；圖8是本發明另一實施例的示意圖；圖9是各個存儲器的數據配置圖；圖10是故障檢測信號和存儲器切換運行的說明圖；圖11是頻率變換器的示意圖；圖12是頻率變換操作的說明圖；圖13是頻率比較器的示意圖；圖14是頻率比較操作的時間圖；圖15是多重頻率比較操作的說明圖；圖16是本發明另一實施例的示意圖；圖17是本發明另一實施例的示意圖；圖18是本發明又一實施例的示意圖；圖19是本發明大規模集成電路(LSI)布局的說明圖；圖20是本發明另一實施例的示意圖；圖21是本發明另一實施例的示意圖；圖22是本發明另一實施例的示意圖；圖23是本發明另一實施例的示意圖24是本發明又一實施例的示意圖；圖25是本發明一編程實例的示意圖。
ATP根據地面送來的ATP指令速度信號與當時列車(此後稱為電動機車)行駛速度之間的偏差，給列車以制動作用，控制電動機車行駛速度低於該指令速度。
圖1是利用本發明ATP系統的框圖。
圖1中，標號1表示其上面有電動機車行駛的路軌，23表示電動機車的車身，2表示電動機車的輪子，3表示加裝在輪子2的軸上、檢測速度的速度發生器，4表示對速度發生器3的輸出電壓波形整形並輸出與電動機車的速度成正比的速度頻率信號5的波形整形器(或信號變換器)，6表示接收地面來的調頻ATP指令速度信號的天線，7表示對天線6接收到的調頻ATP指令速度信號進行解調、隨後對該波形整形放大的車載接收機，8表示作為車載接收機7輸出信號的ATP指令速度信號，9表示根據ATP指令速度信號和電動機車的實際速度來控制電動機車速度的ATP設備。還有，22表示從ATP設備接收制動指令信號21並向電動機車提供實際制動作用的制動設備。
利用此構成，電動機車的速度便得到控制，從而消除ATP指令速度與電動機車實際速度之間的偏差，或防止電動機車的實際速度超過ATP指令速度。
下面參照圖2說明前面提及的ATP設備控制器的故障保護技術。
標號1800表示一控制器，1810表示輸入處理第一輸入數據、輸出第一輸出數據1860和第一檢測信號1880的第一處理器，1820表示輸入處理第二輸入數據、輸出第二輸出數據1870和反相的第二檢測信號1890的第二處理器，1830表示將第二處理器處理的檢測信號反相的信號反相器，1900表示將第一處理器1810輸出的第一檢測信號1880發送至第二處理器1820的第一發送器，1910表示將第二處理器輸出的第二檢測信號1890通過信號反相器1830發送至第一處理器1810的第二發送器。
第一輸入數據和第二輸入數據均為微型計算機產生和提供的，或是從存儲器讀出的數據。
就第一輸入數據而言，有時它有處理第一輸出數據用的數據和校驗上述數據的校驗數據，有時它沒有校驗數據，校驗數據通過第一處理器的處理產生，而且還產生第一檢測信號。
就第二輸入數據而言，有時數據內容與第一輸入數據的內容相同，有時此內容不同於第一輸入數據。
就第二輸入數據而言，有時它具有與前面提及的第一輸入數據相同方式的校驗數據，有時則沒有校驗數據。當第二輸入數據沒有校驗數據時，有時校驗數據由第二處理器以與前面提及的第一輸入數據相同的方式產生，有時甚至第二處理器也不產生校驗數據。
而且，本實施例中第一輸入數據和第二輸入數據是互相獨立的。但任一輸入數據都可以很方便地輸入兩處理器。
第一處理器和第二處理器對串行處理型環處理器順序輸入的第一或第二輸入數據進行處理，或在微機中並行讀取這兩種數據，執行並行處理。
第一和第二檢測信號指示第一處理器和第二處理器運行是否正常。當有規定周期的交變信號輸出時，該檢測信號表明處理器運行正常。
這些檢測信號還可以用作指示輸入數據內容的校驗結果是否正確的檢測信號。
另一設備則由第一輸出數據和第二輸出數據控制。
輸出至另一設備之前，由一檢測第一輸出數據與第二輸出數據之間符合或輸出利用第一或第二檢測信號的最終輸出數據的輸出部，對所要控制的另一設備進行控制。
具有上述構成的控制器的處理過程敘述如下該處理過程的第一個例子是一種先將第一檢測信號輸出，再通過重複使此信號反相來產生交變信號的情形。
第一輸入數據經第一處理器輸入處理之後，輸出第一輸出數據和第一檢測信號。第一檢測信號輸入至第二處理器，與第二輸入數據一起處理，產生和輸出第二輸出數據和第二檢測信號。
第二檢測信號由信號反相器反相，輸入至第一處理器。當第一處理器處理的第一檢測信號為高(此後記為H)電平信號時，第二處理器處理的第二檢測信號也變成H電平信號，而當第一處理器的第一檢測信號為低(此後記為L)電平信號時，第二處理器處理的第二檢測信號也變成L電平信號。
H電平的第二檢測信號由信號反相器反相，所得的L電平的檢測信號輸入至第一處理器。
因而，當第一處理器處理的第一檢測信號為L電平信號時，L電平信號就輸入至第二處理器，第二處理器的檢測信號就變成L電平信號。但因為該信號由信號反相器反相，所以是H電平的第二檢測信號輸入至第一處理器，只要第一處理器和第二處理器正常運行，第一和第二檢測信號就變成H、L、H、......電平的交變信號。
第一或第二處理器檢測信號的上述處理過程是輸出一與輸入信號相同電平的信號。也就是說，當從第一處理器先輸出H或L電平的第一檢測信號，只要第一和第二處理器運行正常，第一和第二檢測信號此後就變成交變信號。
處理過程的第二個例子是一種在第一處理器輸出的第一檢測信號與第二輸入數據的校驗數據(或是由第二輸入數據產生的校驗數據)之間進行邏輯運算，從第二處理器輸出檢測信號的情形。
這樣，本發明不僅檢測第一或第二處理器是否運行正常，而且還能檢查第一或第二輸入數據是否正常。
也就是說，當第一檢測信號與第二輸入數據的校驗數據不符合時，是不同於第一檢測信號電平的信號從第二處理器輸出作為檢測信號。這樣，經過信號反相器的第二檢測信號就變成與第一檢測信號相同電平的信號，從而沒有交變信號輸出。
對於第一處理器的第二檢測信號和第一輸入數據的校驗數據也是同樣如此。在此處理過程的例子中採用一具有邏輯單元的構成來執行邏輯運算。
接下來說明圖1所示的ATP設備9的構成，它具有自動機車控制系統控制器的上述特性。
ATP設備9包括將ATP指令速度信號8變換成第一微機控制數據12的第一微機10；通過執行與第一微機相同的處理、將ATP指令速度信號8變換成第二微機控制數據13的第二微機11；在第一微機10的控制數據12與速度頻率信號5之間進行邏輯運算、輸出A系統邏輯輸出信號17的A系統邏輯電路15；在第二微機11的控制數據13與速度頻率信號5之間進行邏輯運算、輸出B系統邏輯輸出信號18的B系統邏輯電路16；以及，具有A系統邏輯電路15和B系統邏輯電路16雙重邏輯構成的控制器14。
A系統邏輯電路15包括將第一微機的控制數據12變換成ATP指令速度頻率(信號)151的頻率變換器150；將ATP指令速度頻率信號2150送至第三處理器2030的第二發送器；將第三檢測信號2160送至第四處理器2040的第三發送器2200；以及，將第四處理器2040輸出的第四檢測信號2170經過一符號反轉器2050送至第一處理器2010的第四發送器2210。
第一輸入數據2060、第二輸入數據2070、第三輸入數據2080、和第四輸入數據2090均為微機產生和提供的，或是從存儲器讀出的數據。
就第一輸入數據2060而言，有時它有處理第一輸出數據2100用的數據和校驗上述數據的校驗數據，有時它沒有校驗數據，校驗數據通過第一處理器2010的處理產生，而且還產生第一檢測信號2140。
就第二輸入數據2070而言，有時它有處理第二輸出數據2110用的數據和校驗上述數據的校驗數據，有時它沒有校驗數據，校驗數據通過第二處理器2020的處理產生，而且還產生第二檢測信號2150。
就第三輸入數據2080而言，有時它有處理第三輸出數據2120用的數據和校驗上述數據的校驗數據，有時它沒有校驗數據，校驗數據通過第三處理器2030的處理產生，而且還產生第三檢測信號2160。
就第四輸入數據2090而言，有時它有處理第四輸出數據2130用的數據和校驗上述數據的校驗數據，有時它沒有校驗數據，校驗數據通過第四處理器2040的處理產生，而且還產生第四檢測信號2170。
第一處理器2010對專用的串行處理型環處理器順序輸入的第一輸入數據2060進行處理，或在微機中並行讀取此數據，執行並行處理。
第二處理器2020也對專用的串行處理型環處理器順序輸入的第二輸入數據2070進行處理，或在微機中並行讀取此數據，執行並行處理。
第三處理器2030也對專用的串行處理型環處理器順序輸入的第三輸入數據2080進行處理，或在微機中並行讀取此數據，執行並行處理。
第四處理器2040也對專用的串行處理型環處理器順序輸入的第四輸入數據2090進行處理，或在微機中並行讀取此數據，執行並行處理。
第一檢測信號2140指示第一處理器2010是否運行正常，第二檢測信號2150指示第二處理器2020是否運行正常，第三檢測信號2160指示第三處理器2030是否運行正常，第四檢測信號2170指示第四處理器2040是否運行正常。它們分別是按規定周期交替的交變信號。
這些檢測信號還可以用作表明輸入數據內容的校驗結果是否正確的信號。
也就是說，第一處理器2010輸出用於校驗輸入數據2060內容的處理結果作為檢測信號2140，第二處理器2020輸出用於校驗輸入數據2070內容的處理結果作為檢測信號2150，第三處理器2030輸出用於校驗輸入數據2080內容的處理結果作為檢測信號2160，第四處理器2040輸出用於校驗輸入數據2090內容的處理結果作為檢測信號2170。
第一處理器2010的輸出數據2100、第二處理器2020的輸出數據2110、第三處理器2030的輸出數據212、和第四處理器2040的輸出數據2130均輸出至另一設備，來對它進行控制。
輸出至另一設備之前，由一例如檢測第一輸出數據2100、第二輸出數據2110、第三輸出數據2120與第四輸出數據2130之間符合，檢測第一輸出數據2100與第二輸出數據2110之間符合，檢測第三輸出數據2120與第四輸出數據2130之間符合，或進而輸出利用第一檢測信號2140、第二檢測信號2150、第三檢測信號2160和第四檢測信號2170的最終輸出數據的輸出部，對所要控制的另一設備進行控制。
具有上述構成的控制器2000的處理過程敘述如下第一輸入數據2060輸入至第一處理器2010，第二輸入數據2070輸入至第二處理器2020，第三輸入數據2080輸入至第三處理器2030，第四輸入數據2090輸入至第四處理器2040，分別執行運算。
第一輸出數據2100和第一檢測信號2140從第一處理器2010輸出。
第一檢測信號2140輸入至第二處理器2020，與第二輸入數據2070一起處理，產生第二輸出數據2110和第二檢測信號2150。第二檢測信號2150輸入至第三處理器2030，與第三輸入數據2080一起處理，產生第三輸出數據2120和第三檢測信號2160。第三檢測信號2160輸入至第四處理器2040，與第四輸入數據2090一起處理，產生第四輸出數據2130和第四檢測信號2170。第四檢測信號2170則由符號反轉器2050將其符號反轉，輸入至第一處理器2010。
當第一處理器2010的第一檢測信號2140為H電平信號時，第二處理器2020的第二檢測信號2150也變成H電平信號，而當第一檢測信號2140為L電平信號時，第二處理器2020的第二檢測信號2150也變成L電平信號。
假定所有的處理器的檢測信號輸出起先都是L電平。因而，第四處理器2040的第四檢測信號2170的符號反轉信號2210變成H電平信號，輸入至第一處理器2010。
結果，經第一處理器2010的處理，第一檢測信號2140的輸出電平變成H，再經第二處理器2020的處理，第二檢測信號2150的輸出電平變成H，接下來經第三處理器2030的處理，第三檢測信號2160的輸出電平變成H，接著經第四處理器2040的處理，第四檢測信號2170的輸出電平變成H。
因為第四檢測信號2170輸出的符號經符號反轉器2050反轉，所以符號反轉信號2210的輸出電平從H變為L。
因而，第一處理器2010的第一檢測信號2140的輸出電平從H變為L，第二處理器2020的第二檢測信號2150的輸出電平從H變為L，接下來第三處理器2030的第三檢測信號2160的輸出電平從H變為L，最後第四處理器2040的第四檢測信號2170的輸出電平從H變為L。
因為，第四檢測信號2170輸出的符號經符號反轉器2050反轉，故而符號反轉信號2210的輸出電平從H變為L，回到初始狀態。
檢測信號如上所述從第一處理器至第四處理器連接成環，因而第一輸入數據至第四輸入數據和第一處理器至第四處理器都是正常的。它們運行正確時，第一檢測信號2140至第四檢測信號2170成為按固定周期交替的交變信號，而當某一處理器發生故障時，該相應檢測信號就固定為H或L，構成循環的檢測信號便停止交變。
因而，需要對循環的故障檢測信號進行監視，並在交變停止時採取應急動作。若對所有的故障檢測信號進行監視，就可以知道出故障的處理器，並且可以更為簡明地對故障作分析。
圖20中說明的是具有四個處理器的實施例。不過，即便是有任意個數的處理器，也可以以相同方式連接故障檢測信號，對處理器個數沒有限制。
圖21是本發明另一實施例的示意圖。圖21示出的是共享處理器的實施例，其中輸入部包含一時分操作型的並串行變換器，輸出部則包含一時分操作型的串並行變換器。
控制器3000包括一包含時分操作型並串行變換器3020、第一處理器3030、和時分操作型串並行變換器3040在內的第一控制電路3010；一包含時分操作型並串行變換器3210、第二處理器3220、和時分操作型串並行變換器3230在內的第二控制電路3200。第一控制電路3010的故障檢測信號3130輸入至第二控制電路3200的並串行變換器3210，第二控制電路3200的故障檢測信號3320由符號反轉器3330將其符號反轉，所得的符號反轉信號3340輸入至第一控制電路3010的並串行變換器3020。
第一輸入數據3050，第二輸入數據3060，和第三輸入數據3070均輸入至第一控制電路3010的並串行變換器3020，第四輸入數據3240，第五輸入數據3250，和第六輸入數據3260均輸入至第二控制電路3200的並串行變換器3210。
假定第一控制電路3010的故障檢測信號3130和第二控制電路3200的故障檢測信號3320其輸出電平起先為L。
第一輸入數據3050由第一控制電路3010的並串行變換器3020變換成串行信號3080，經第一處理器3030的處理，輸出一串行輸出信號3090，接著由串並行變換器3040變換成並行信號，再作為輸出信號3100輸出。
第四輸入數據3240則由第二控制電路3200的並串行變換器3210變換成串行信號3270，經第二處理器3220的處理，輸出一串行輸出信號3280，接著由串並行變換器3230變換成並行信號，再作為輸出信號3290輸出。
同樣，第二輸入數據3060輸入至第一控制電路3010，經第一處理器3030的處理，輸出一輸出信號3110。第五輸入數據3250輸入至第二控制電路3200，經第二處理器3220的處理，輸出一輸出信號3300。第三輸入數據3070輸入至第一控制電路3010，經第一處理器3030的處理，輸出一輸出信號3120。第六輸入數據3260輸入至第二控制電路3200，經第二處理器3220的處理，輸出一輸出信號3310。
接著，第二控制電路3200的故障檢測信號3320由符號反轉器3330將其符號反轉，H電平的該符號反轉信號3340輸入至第一控制電路3010的並串行變換器3020，這時按上面提及的相同動作輸出H電平的故障檢測信號3130。
第一控制電路3010的H電平的故障檢測信號3130輸入至第二控制電路3200的並串行變換器3210，因而，按上面提及的相同動作輸出H電平的故障檢測信號3320。
這H電平的故障檢測信號3320由符號反轉器3330將其符號反轉，所得L電平的故障檢測信號輸入至第一控制電路3010的並串行變換器3020，因而，按上面提及的相同動作輸出H電平的故障檢測信號3130。
因此，只要第一控制電路3010和輸入數據以及第二控制電路3200和輸入數據正常，第一控制電路3010的故障檢測信號3130和第二控制電路3200的故障檢測信號3320就變成為按固定周期交替的交變信號。
圖21中，第一處理器3020和第二處理器3210可以採用微機。在這種情況下，可以由程序選定各種方法。例如，可以通過在輸入數據處理之後執行故障檢測處理這種方法，或並行執行輸入數據處理和故障檢測處理這種方法，來實現上面提及的相同動作。
不用說，當然可以由復接器和分接器來替換並串行變換器和串並行變換器，實現上面提及的相同動作。
圖22是本發明另一實施例的示意圖。差異在於，圖20所示的實施例中的符號反轉器2050在圖22所示的實施例中是一1位加法器2220。除此之外全部相同，故而省略其動作說明，僅僅對圖22示出的加法器2220的動作進行說明。
假定構成控制器2000的第一處理器2010、第二處理器2020、第三處理器2030和第四處理器2040均正常，第一檢測信號2140、第二檢測信號2150、第三檢測信號2160和第四檢測信號2170其輸出電平均為L。
第一輸入數據2060輸入後經第一處理器2010的處理，輸出L電平的第一檢測信號2140。第一檢測信號2140輸入至第二處理器2020，與第二輸入數據2070一起處理，輸出L電平的第二檢測信號2150。第二檢測信號2150輸入至第三處理器2030，與第三輸入數據2080一起處理，輸出L電平的第三檢測信號2160。第三檢測信號2160輸入至第四處理器2040，與第四輸入數據2090一起處理，輸出L電平的第四檢測信號2170。
第四檢測信號2170輸入至加法器2220，與H電平數據相加，因而，其輸出信號2210的輸出電平變為H，該信號輸入至第一處理器2010。
此H電平輸出信號2210與第一輸入數據2060一起處理，第一檢測信號2140變為H電平信號，此後由相同的動作，第二處理器2020的第二檢測信號2150變為H電平信號，第三處理器2030的第三檢測信號2160變為H電平信號，第四處理器2040的第四檢測信號2170變為H電平信號。
此第四檢測信號2170輸入至加法器2220，與H電平數據相加時，其輸出信號2210的輸出電平變為L。此輸出信號2210輸入至第一處理器2010，與第一輸入數據一起處理。也就是說，又回到初始狀態。
因而，只要控制器2000各單元正常，構成循環的第一檢測信號2140、第二檢測信號2150、第三檢測信號2160、和第四檢測信號2170均成為H或L電平按固定周期交替的交變信號，從而可以期望提供一種對任一這些信號監視，當交變停止時執行應急控制的構成。
如同圖20，圖22說明的是四個處理器的例子。但即便是有任意個數的處理器，也可以按相同方法將它們連接，對處理器個數沒有限制。
圖23是本發明另一實施例的示意圖。與圖20不同之處在於，圖23所示的實施例中，是2位數據「0」「1」(表示十進位1)與處理器的2位檢測信號相加，加法器輸出信號輸入至下一個處理器，與輸入至該處理器的信號一起處理。
圖23中，第一處理器2010、第二處理器2020、第三處理器2030、和第四處理器2040，以及第一加法器2220、第二加法器2230、第三加法器2240、以及第一減法器2250分別正常，表明狀態的第一檢測信號2140的輸出為2位長度「0」「0」(表示十進位0)，第二檢測信號2150的輸出也是「0」「0」，第三檢測信號2160的輸出也是「0」「0」，第四檢測信號2170的輸出也是「0」「0」。
第一輸入數據2060輸入後，經第一處理器的處理，輸出第一輸出數據2100和第一檢測信號2140的「0」「0」。
第一檢測信號2140的輸出「0」「0」由第一加法器2220與2位數據「0」「1」(表示十進位1)相加，因而加法器輸出2260變成「0」「1」。
加法器輸出2260的「0」「1」輸入至第二處理器2020，與第二輸入數據2070一起處理，輸出第二輸出數據2110和第二檢測信號2150的「0」「1」。
第二檢測信號2150的輸出「0」「1」由第二加法器2230與數據「0」「1」相加，因而加法器輸出2270變成「1」「0」(表示十進位2)。
加法器輸出2270的「1」「0」輸入至第三處理器2030，與第三輸入數據2080一起處理，輸出第三輸出數據2120和第三檢測信號2160的「1」「0」。
第三檢測信號2160的輸出「1」「0」由第三加法器2240與數據「0」「1」相加，因而加法器輸出2280變成「1」「1」(表示十進位3)。
加法器輸出2280的「1」「1」輸入至第四處理器2040，與第四輸入數據2090一起處理，輸出第四輸出數據2130和第四檢測信號2170的「1」「1」。
第四檢測信號2170的「1」「1」輸入至第一減法器2250，從數據「1」「1」減去數據「1」「0」(表示十進位2)，因而減法器輸出2290變成「0」「1」。
減法器輸出2290的「0」「1」輸入至第一處理器2010，與第一輸入數據2060一起處理，輸出第一輸出數據2100和第一檢測信號2140的「0」「1」。
第一檢測信號2140的「0」「1」由第一加法器2220與數據「0」「1」相加，因而加法器輸出2260變成「1」「0」(表示十進位2)。
加法器輸出2260的「1」「0」輸入至第二處理器2020，與第二輸入數據2070一起處理，輸出第二輸出數據2110和第二檢測信號2150的「1」「0」。
第二檢測信號2150的「1」「0」由第二加法器2230與數據「0」「1」相加，因而加法器輸出2270變成「1」「1」(表示十進位3)。
加法器輸出2270的「1」「1」輸入至第三處理器2030，與第三輸入數據2080一起處理，輸出第三輸出數據2120和第三檢測信號2160的「1」「1」。
第三檢測信號2160的「1」「1」由第三加法器2240與數據「0」「1」相加，因而加法器輸出2280變成「0」「0」(表示十進位0)。
加法器輸出2280的「0」「0」輸入至第四處理器2040，與第四輸入數據2090一起處理，輸出第四輸出數據2130和第四檢測信號2170的「0」「0」。
第四檢測信號2170的「0」「0」輸入至第一減法器2250，減去數據「1」「0」，因而減法器輸出2290變成「1」「0」(表示十進位2)。
減法器輸出2290的「1」「0」輸入至第一處理器2010，與第一輸入數據2060一起處理，輸出第一輸出數據2100和第一檢測信號2140的「1」「0」。
第一檢測信號2140的「1」「0」由第一加法器2220與數據「0」「1」相加，因而加法器輸出2260變成「1」「1」(表示十進位3)。
加法器輸出2260的「1」「1」輸入至第二處理器2020，與第二輸入數據2070一起處理，輸出第二輸出數據2110和第二檢測信號2150的「1」「1」。
第二檢測信號2150的「1」「1」由第二加法器2230與數據「0」「1」相加，因而加法器輸出2270變成「0」「0」(表示十進位0)。
加法器輸出2270的「0」「0」輸入至第三處理器2030，與第三輸入數據2080一起處理，輸出第三輸出數據2120和第三檢測信號2160的「0」「0」。
第三檢測信號2160的「0」「0」由第三加法器2240與數據「0」「1」相加，因而加法器輸出2280變成「0」「1」(表示十進位1)。
加法器輸出2280的「0」「1」輸入至第四處理器2040，與第四輸入數據2090一起處理，輸出第四輸出數據2130和第四檢測信號2170的「0」「1」。
第四檢測信號2170的「0」「1」輸入至第一減法器2250，減去數據「1」「0」，因而減法器輸出2290變成「0」「0」(表示十進位0)。
減法器輸出2290的「0」「0」輸入至第一處理器2010，與第一輸入數據2090一起處理，輸出第一輸出數據2100和第一檢測信號2140的「0」「0」。
當控制器2000構成為，使「0」「1」(十進位1)與第一處理器的第一故障檢測信號的輸出信號相加並將加法信號輸入至第二處理器；使「0」「1」(十進位1)與第二故障檢測信號的輸出信號相加並將加法信號輸入至第三處理器；使「0」「1」(十進位1)與第三故障檢測信號的輸出信號相加並將加法信號輸入至第四處理器；從第四故障檢測信號的輸出信號減去「1」「0」(十進位2)並將減法信號輸入至第一處理器，這樣的話，只要控制器2000的各個單元正常，各個處理器的故障檢測信號就成為按固定周期交替的交變信號。
如同圖22，圖23說明的是四個處理器的例子。但即便是有任意個數的處理器，也可以按相同方法將它們連接，對處理器個數沒有限制。
圖24示出本發明另一實施例。圖24在第二檢測信號的處理方法上與圖21有所不同。
具體來說，圖24中第一輸入數據3050全部輸入至第一控制電路3010後再輸入第二輸入數據3060，第二輸入數據3060全部輸入後再輸入第三輸入數據3070，第三輸入數據3070全部輸入後，再通過第一加法器3150輸入校驗數據用的CRC數據3140，作為故障檢測信號3160。
這些數據由並串行變換器3020順序變換成串行信號3080，輸入至第一處理器3030後按規定進行處理，輸出一串行信號3090。此串行信號3090由串並行變換器3040變換輸出互相併行的輸出信號3100、輸出信號3110和輸出信號3120，從而對另一設備進行控制，並且輸出故障檢測信號3130，將它輸入至第二加法器3340。
當第四輸入數據3240以相同方法全部輸入至第二控制電路3200後再輸入第五輸入數據3250，第五輸入數據3250全部輸入後再輸入第六輸入數據3260，第六輸入數據3260全部輸入後再通過第二加法器3340輸入校驗數據用的CRC數據3330，作為故障檢測信號3350。
這些數據由並串行變換器3210順序變換成串行信號3270，輸入至第二處理器3220後按規定進行處理，輸出一串行信號3280。此串行信號3280由串並行變換器3230變換輸出互相併行的輸出信號3290、輸出信號3300和輸出信號3310，從而對另一設備進行控制，並且輸出故障檢測信號3320，由符號反相器3350使之符號反轉後，輸入至第一加法器3150一符號反轉故障檢測信號3360。
假定在初始狀態第一控制電路3010的故障檢測信號3130和第二控制電路3200的故障檢測信號3320其輸出電平均為L。
第一控制電路3010的L電平故障檢測信號3130輸入至第二控制電路3200的第二加法器3340，但CRC數據3330並不會受損。換句話說，輸入至第二串並行變換器3210的是正常的CRC數據3350。
另一方面，第二控制電路3200的故障檢測信號3320其符號反轉信號3370的輸出電平為H。H電平的符號反轉信號3370輸入至第一加法器3150，使CRC數據3140破壞。
已破壞的CRC數據3160輸入至第一併串行變換器3020，從而經第一處理器3030處理後，通過第一串並行變換器3040輸出H電平的故障檢測信號3130。
此H電平的故障檢測信號3130輸入至第二加法器3340，使CRC數據3330破壞。
已破壞的CRC數據3350輸入至第二並串行變換器3210，從而經第二處理器3220處理後，通過第二串並行變換器3230輸出H電平的故障檢測信號3320。
此H電平的故障檢測信號3110由符號反相器3360反轉其符號後，輸入至第一加法器3150一L電平信號。
也就是說，CRC數據3140未被第一加法器3150破壞，因而輸入至第一併串行變換器的是正常的CRC數據。即回到初始狀態，受到控制。
如上所述，只要控制器3000的全部單元正常，故障檢測信號3130和故障檢測信號3320就按固定周期交替變化。
圖25是一程序實例，此時圖21和圖24示出的第一處理器和第二處理器分別包括一微機。在執行輸入處理後執行數據處理，並根據此結果執行輸出處理。此處理結束，檢測故障的診斷處理便開始。也就是說，故障診斷處理是在執行用以檢測故障的輸入處理之後，並且此處理結束執行輸出處理時執行的。也就是說，只要正常，就沒有信號輸出。然而，當異常時，有輸出信號，執行應急處理。
綜上所述，根據本發明，當然可以檢測包括多個處理器或邏輯單元的控制器的正常運行和異常運行。
各個處理器處理的輸入數據內容均可以得到校驗，因而不僅可以檢測硬體的運行是否正常，而且可以檢測軟體的運行是否正常。
將本發明應用於ATP設備時，從ATP指令速度信號產生兩系統的控制數據，ATP設備中的各個邏輯單元均為雙份，從而對各自的控制數據進行處理，各系統至少具有兩套校驗控制數據用的CRC數據。通過改變各個邏輯單元的對立CRC數據，或根據各個雙份邏輯單元來的故障檢測信號的內容兩套CRC數據中選其一，可以實現對控制數據的校驗和對各個邏輯單元運行的校驗。
ATP設備包括對ATP指令速度頻率151與速度頻率5進行比較的頻率比較器152；根據B系統的故障檢測信號，校驗第一微機控制數據12的內容和邏輯電路15的狀態，並輸出A系統故障檢測信號154的故障檢測器153。
B系統的邏輯電路16包括將第二處理器的控制數據13變換成ATP指令速度頻率(信號)161的頻率變換器160；對ATP指令速度頻率151與速度頻率5進行比較的頻率比較器162；根據A系統的故障檢測信號，校驗第二微機控制數據13的內容和邏輯電路16的狀態，並輸出B系統故障檢測信號164的故障檢測器163。
標號19表示一邏輯電路，它產生一與B系統故障檢測信號164的符號相反的符號反轉信號165，並將它輸入至A系統故障檢測器153。例如可以是一反相電路。此符號反轉邏輯電路19連接至A系統故障檢測器153輸出端與B系統故障檢測器163輸入端之間。因而，A系統的故障檢測信號154的符號可以被反轉。
ATP指令速度是根據軌道狀況等和路軌1的流量，按調頻信號預置的限速。
ATP指令速度由行駛的電動機車的接收天線6接收，並同時由車載接收機7解調、放大和整形，然後再檢出。
通過波形整形器4對直接連接在電動機車輪軸上的速度發生器3的輸出電壓進行整形，對正比於電動機車速度的速度頻率進行檢測。
車載接收機7的ATP指令速度信號8分別輸入至ATP設備9的第一微機10和第二微機11，變換為控制數據或加以處理。
具體來說，假定與ATP指令速度信號對應的數據長度為1字，n種ATP指令速度信號便變換為n字數據。
通過微機10和11變換處理而產生的控制數據被存儲在內置於微機10和11中的存儲器，並順序作為控制數據12和13輸出。
保存控制數據12和13的存儲器可以是內置於微機10和11的存儲器，或是內置於邏輯電路15和邏輯電路16的存儲器或微機(未圖示)，或是與ATP設備分立安裝的存儲器。
可以用同一存儲器或不同的存儲器來保存控制數據12和13。
圖1示出一上述存儲器內置於各個微機的例子。
上述各個存儲器可以是包含高速緩衝存儲器在內的存儲器件。
圖3中的(1)由第一微機10產生，數據DI0至DIx-1存儲在存儲器地址AI0至AIx-1處。同樣，圖3中的(2)由第二微機11產生，數據DI0至DIx-1存儲在存儲器地址AI0至AIx-1處。
在第一微機10的數據DI0至DIx-1的末尾加有1字長度的CRC數據DCRC1來檢測故障。地址為AI0至AIn的數據DI0至DIx-1和DCRC1，從低次位至高次位串行輸出。輸出的串行數據作為第一微機的控制數據12輸入至A系統的邏輯電路15。
同樣，在第二微機11的數據DI0至DIx-1的末尾加有1字長度的CRC數據DCRC2來檢測故障。地址為AI0至AIn的數據DI0至DIx-1和DCRC1，從低次位至高次位串行輸出。輸出的串行數據作為第二微機的控制數據13輸入至B系統的邏輯電路16。
在這種情況下，合意的是A系統和B系統兩者的數據DI0至DIx-1相同，而本實施例示出這種數據相同的情況。
在A系統的邏輯電路15中，由串行操作型頻率變換器150(後面說明的環形算術電路)根據ATP指令速度信號將控制數據12變換成n種ATP指令速度頻率151，並以串行方式輸出。
串行輸出的信號輸入至頻率比較器152(後面說明)。
同樣，在B系統的邏輯電路16中，由串行操作型頻率變換器160(後面說明的環形算術電路)根據ATP指令速度信號將控制數據13變換成n種ATP指令速度頻率161，並以串行方式輸出。
串行輸出的信號輸入至頻率比較器162(後面說明)。
在這種情況下，A系統的DCRC1和B系統的DCRC2分別具有至少兩個不同生成多項式產生的CRC數據，也就是說，A系統有DCRC10和DCRC11，B系統有DCRC20和DCRC21。至於這些CRC數據，可以從一套CRC數據產生兩套CRC數據。
這些CRC數據不由頻率變換器150和160進行頻率變換。
速度頻率5輸入至A系統另一頻率比較器152，與ATP指令速度頻率151比較，以串行方式將比較結果作為輸出信號17輸出。
同樣，速度頻率5輸入至B系統另一頻率比較器162，與ATP指令速度頻率161比較，以串行方式將比較結果作為輸出信號18輸出。
核對器20將邏輯電路15的輸出信號17和邏輯電路16的輸出信號18進行比較對照後，輸出核對相符信號至制動設備22，作為制動指令21。
圖4是頻率比較操作的概念圖。這時電動機車停止於規定位置。接下來說明ATP指令速度頻率、電動機車速度頻率、以及制動指令之間的關係。
圖4中，縱軸表示ATP指令速度頻率fATP，橫軸表示時間t，符號fV表示電動機車的速度頻率。
在時刻t0，ATP指令速度頻率fATP0與電動機車速度頻率fV之間關係是fATP0＞fV。在時刻t0至t1這段時間內，既沒有行駛指令也沒有制動指令提供給電動機車，電動機車處於靠慣性滑行開始減速的狀態。
假定在此狀態下ATP指令速度頻率fATP0在時刻t1改變為fATP1，且fATP1於fV，那麼，附圖中示出的B1便作為制動指令信號21從符合器20輸出，提供給制動設備22。
由制動設備22將與該指令對應的制動作用提供給電動機車，電動機車便開始減速。
假定ATP指令速度頻率fATP1在時刻t2改變為fATP2，且fATP2低於fV，那麼核對器20的制動指令信號21就變成圖中所示的B2，電動機車進一步減速。
假定ATP指令速度頻率以同樣方法在時刻t3至t5時改變為fATP3至fATP5，那麼圖中所示的B3至B5便作為核對器20的制動指令信號21以串行方式輸出。此制動指令信號21便輸入至制動設備22，由制動設備22向電動機車提供規定的制動作用。
圖1中，制動指令信號21B1至B5如圖3所示從符合器20以串行方式輸出，制動設備22便對它們解碼，使制動設備22控制成具有圖4所示的制動作用。
如上所述，ATP設備是一種保安設備，按地面來的ATP指令速度信號向電動機車提供制動作用，對電動機車的速度進行控制，使電動機車停靠於規定站點。
具體來說，當構成ATP設備的微機10和11、邏輯電路15和16，以及核對器20等單元中的某一個發生故障，而無法輸出規定的制動指令時，就會造成嚴重的事故，因而，在檢測出上述電路和設備其中之一出現故障時，必須確保使電動機車停下。
下文說明這方面的故障檢測功能。
輸入至A系統邏輯電路15的控制數據12由故障檢測器153校驗，其輸出信號154輸入至B系統的故障檢測器。
輸入至B系統邏輯電路16的控制數據13由故障檢測器163校驗，其輸出信號164由反相器19進行符號反轉，並作為符號反轉故障檢測信號165輸入至A系統故障檢測器153。
在這種情況下，假定電路不工作的信號電平為L，電路工作的信號電平為H。
當輸入至A和B系統邏輯電路15和16的控制數據12和13均正常，故障檢測器153和163其輸出信號154和164就變為L。B系統故障檢測器163的輸出信號164由反相器19進行符號反轉，因而符號反轉故障檢測信號165變為H。
至於輸入至邏輯電路15的故障檢測器153的CRC數據，是按邏輯電路16的H電平的符號反轉故障檢測信號來選擇兩套CRC數據DCRC10和DCRC11其中之一的，並輸入至故障檢測器153，或將原先輸入的CRC數據改為另一CRC數據。例如，通過控制使DCRC10改變為DCRC11。
合意的是各CRC數據含有的數據在各個系統A和B中相同。本實施例中，其前提是全部數據均相同。也就是說，數據DI0至DIx-1、各個CRC數據DCRC10、DCRC11、DCRC20、DCRC21均相同。
另一方面，輸入至邏輯電路16故障檢測器163的CRC數據未改為其它CRC數據，這是因為故障檢測信號154處於L狀態。
於是，從此狀態開始進行處理。
在此例子中，假定各個故障檢測器一開始選定的控制數據12和13的CRC數據在A系統中是DCRC10，在B系統中是DCRC20。
圖5描述的是操作次數、故障檢測器153的輸出信號和故障檢測器163的輸出信號164之間的操作波形的關係。
通過第一次操作，從微計算機10得到的控制數據12被提供至系統A的邏輯電路15，ATM指令速度信號由邏輯電路15變換成預定的指令速度頻率fATPn，並作為輸出信號17輸出。
對於該控制數據12的CRC數據來說，通過系統B的H電平符號反轉故障檢測信號165，為故障檢測器153來選擇出錯的CRC數據(DCRC11)。因此，在故障檢測器153內測出故障，故障檢測信號154變為H。
另外，控制數據13從微計算機11提供至系統B的邏輯電路16，ATM指令速度信號由邏輯電路16變換成預定指令速度頻率fATPn，並作為輸出信號18輸出。由於系統A的故障檢測信號154處於先前的狀態(即L)，所以該控制數據13的CRC數據保持不變。因此，故障檢測器163的故障檢測信號164保持L不變，而符號反轉故障檢測信號165進入H。
即，在第一次操作的結束時，系統A的故障檢測信號154變為H，故障檢測信號164變為L。
第二次操作時，ATM指令速率信號被變換成預定指令速度頻率fATPn，輸出信號17和18保持不變。然而，對於要輸入到系統A的邏輯電路15的控制數據12的CRC數據來說，DCRC11是由系統B的H電平符號反轉故障檢測信號165來選擇的，邏輯電路15的故障檢測信號154如上所述被保持在H狀態。
另一方面，對於要輸入到系統B的邏輯電路16的控制數據13的CRC數據來說，DCRC21是由故障檢測信號154來選擇的，該信號處於H狀態，而該H狀態是系統A第一次操作的最終狀態。
因此，在故障檢測器163中測出故障，並且故障檢測信號164從L變化到H，而符號反轉故障檢測信號165從H變為L。
即，在第二次操作結束時，系統A的故障檢測信號154變為H，故障檢測信號164也變為H。
第三次操作時，ATP指令速率信號被變換為預定指令速度頻率fATPn，輸出信號17和18保持不變。然而，由於系統B的符號反轉檢測信號165為L，系統A的CRC數據從DCRC11變為DCRC10。
因此，邏輯電路15的故障檢測信號154從H變為L。
另一方面，對於要輸入到系統B的邏輯電路16的控制數據13的CRC數據來說，DCRC21是由故障檢測信號154來選擇的，該信號處於H狀態，該狀態是系統A第二次操作的最終狀態。
因此，在故障檢測器163中測出故障，故障檢測信號164在H狀態保持不變，符號反轉故障檢測信號165在L狀態也保持不變。
即，在第三次操作結束時，系統A的故障檢測信號154變為L，故障檢測信號164變為H。
在第四次操作時，ATP指令速率信號變換成預定指令速度頻率fATPn，輸出信號17和18保持不變。然而，由於要輸入到邏輯電路15的系統B的符號反轉檢測信號165為L，CRC數據保持不變，為DCRC10。
所以，邏輯電路15的故障檢測信號154在L保持不變。
另一方面，對於要輸入到系統B的邏輯電路16的控制數據13的CRC數據來說，因為系統A的故障檢測信號154為L狀態，而該L狀態為第三次操作的最終狀態，所以選擇DCRC20。
即，故障檢測信號164從H變為L，符號反轉故障檢測信號165從L變為H。
也即，在第四次操作結束時，系統A的故障檢測信號154變為L，而故障檢測信號164變為L。
通過第五次操作，ATM指令速率信號被變換成預定指令速度頻率fATPn，而輸出信號17和18保持不變。然而，因為要輸出到系統A的邏輯電路15的系統B符號反轉故障檢測信號為H，所以CRC數據選擇DCRC11。
因此，邏輯電路15的故障檢測信號154從L變為H。
另一方面，對於要輸入到系統B的邏輯電路16的控制數據13的CRC數據來說，因為系統A的故障檢測信號154處於狀態L，而該狀態是第四次操作的最終狀態，所以選擇DCRC20。結果，故障檢測器163的故障檢測信號164保持在L狀態，而符號反轉狀態檢測信號165也保持在H狀態。
處理過程返回到第一次操作狀態，並隨後重複上述操作。
在上述例子中，對其施行控制，從而，當故障檢測信號154和符號反轉故障檢測信號165處在L狀態時，在系統A中選擇DCRC10，在系統B中選擇DCRC20，而當該二檢測信號處於H狀態時，在系統A中選擇DCRC11，在系統B中選擇DCRC21。故障檢測信號和CRC數據選擇控制之間的關係可因具體應用而異。
儘管上文中假設了系統A中的DCRC10和系統B中的DCRC20是CRC數據的正確數據，而系統A中的DCRC11和系統B中的DCRC21為CRC數據的出錯數據，但是也可以反過來假設。這時，正確和出錯包括CRC檢驗碼生成多項式不同。
如上所述，系統B的CRC數據DCRC2是由系統A的邏輯電路15的故障檢測信號154來控制的，而系統A的CRC數據DCRC1是由系統B的邏輯電路16的故障檢測信號164的符號反轉故障檢測信號165來控制的。
因此，當所有的電路(如微計算機10和11，邏輯電路15和16)以及控制數據是正常的時候；故障檢測信號154和164以固定的周期交替。
另外，邏輯電路15、故障檢測信號154、邏輯電路16以及故障檢測信號164構成一故障檢測環路，從而可以採用監測故障檢測信號154和164中的一個的方法來檢測該環路中的故障。
然而，無法檢測該故障檢測環路以外的部分中的故障。為了防止由於該故障檢測環路以外的部分出現故障而輸入不正確的信號，或者正確的信號卻沒有輸入，由核對器20來將系統A的故障檢測信號154和系統B的故障檢測信號164進行對照。
圖4描述的是電動機車停止在預定位置上以及由制動指令B5停止在預定位置上的情況，圖中示出不加制動時的制動指令21和制動作用，用來起動例如系統A的邏輯電路15並施加制動。
若系統A的故障檢測信號154和系統B的故障檢測信號164停止交替變換，則故障檢測核對輸出信號24的交替變換停止。結果，緊急制動信號EB從制動裝置21輸出，從而將最大制動作用施加到電動機車上。
該緊急制動信號EB如圖4中所示，在其他制動指令B1至B5之前運作。
通過監測故障檢測信號154和164中的一個，可以驗證系統A和系統B中哪一個出故障，並可以容易地分析故障，從而可以有效地構築一個工作可靠的系統。
圖6描述一種1位失效保護核對器，圖7描述的是其操作波形。
圖6中，標號100表示符號反轉器，10表示第一觸發器，102為第二觸發器，103為「異或」門，104為核對輸出信號，154為圖1所示邏輯電路15的故障檢測信號，164為圖1中所示邏輯電路16的故障檢測信號。
由於故障檢測信號154和164按固定周期交替出現，故障檢測信號154被輸入到第一觸發器101的時鐘端CK1。
當故障檢測信號164由反相器100使其符號反轉並輸入到第二觸發器102的時鐘端CK2時，第一觸發器101的Q1輸出和第二觸發器102的負(反轉)輸出Q2如圖6所示。
當第一觸發器101的Q1輸出和第二觸發器102的Q2負輸出如圖6所示被輸入至「異」門103時，可以獲得「異」運算輸出信號104。
當停止故障檢測信號154和164交變的一個或者觸發器中的一個停止並且其輸出端固定在H或L時，「異」門103的輸出信號104的交替變化就停止。
由於核對器準確地對二信號進行核對，所以其輸出始終在正常狀態下交替變化。因此，通過監測輸出信號104，不僅對系統A的環路，而且對整個ATP裝置都可判定是否處在正常狀態。反過來說，僅監測這一輸出信號104就可令人滿意。
圖6描述的是一種用來核對1位輸出的失效保護核對器。為了失效保護中核對多個二進位位，最好僅製備圖6中所示的電路勘校。圖1中的核對器20與圖6中的電路等效，內含多個二進位位。
因此，最好用來從ATP裝置接收輸出信號的控制器或系統具有輸出緊急控制信號的結構，這是由於核對器20的交替變化信號輸出停止，並且可以通過這一結構來構造可靠實現失效保護的系統。
上面描述的是一個實施例，其中，核對器20的制動指令是串行輸出的。然而，也可以並行分別將制動指令21輸出至制動裝置22。換言之，最好將核對器20做得使指令成為制動裝置22必需的信號。
如上所述，當保持控制數據的存儲器不構築在微計算機內，而構築在ATP裝置內的，或者獨立安裝的時候，專用存儲讀出信號線、寫入信號控制電路以及地址信號生成電路是作為控制器14的邏輯元件所必需的單元。然而，可以使微計算機和控制器僅通過存儲器發送和接收信息，並且微計算機可用作其他控制處理，從而可以提高微計算機的使用效率。
本實施例中，給出了一例有兩個提供給一套邏輯電路的CRC數據，並且它們是由來自另一邏輯電路的故障檢測信號來切換的。然而如圖18中所述，可以方便地實現不檢驗數據的內容，而只產生交變信號，並輸出邏輯電路是否正常運行的信息。
下面參見圖8描述另一實施例。
如圖1一樣，在圖8中，同一電路安裝在一個晶片上，作為系統A和B而雙重化。如上所述，ATP裝置是一種使電動列車安全行駛所必須的保安裝置，並且始終不會允許由於ATP裝置中的故障而輸出不正確的信號或者不輸出預定信號。因此，圖8中所示實施例中的故障檢測功能進一步加強。
圖8中，每一個圖1中所示相同的編號，其功能也分別相同，因而描述從略。
圖8中，標號30表示系統A的邏輯電路15中安裝的第一存儲器，31為第二存儲器，32為第一存儲器30中存儲的控制數據120的CRC數據，33為第二存儲器31中存儲的控制數據121的CRC數據，34為第一存儲器30和第二存儲器31的切換電路，35為存儲器切換電路34的輸出信號，36為第一存儲器30中存儲的控制數據的第一CRC檢驗電路，37為第二存儲器31中存儲的控制數據121的第二CRC檢驗電路，38為將切換電路34的輸出信號35和第二CRC檢驗電路37的輸出信號相加的第一「或」門電路，39為將第一CRC檢驗電路36的輸出信號和相應於電動列車行駛速度的速度頻率5相加的第二「或」門電路。
標號40表示系統B的邏輯電路16中安裝的第一存儲器，41為第二存儲器，42為第一存儲器40中存儲的控制數據的CRC數據，43為第二存儲器41中存儲的控制數據131的CRC數據，44為第一存儲器40和第二存儲器41的切換電路，45為存儲器切換電路的輸出信號，46為第一存儲器40中存儲的控制數據130的第一CRC檢驗電路，47為第二存儲器41中存儲的控制數據131的第二CRC檢驗電路，48為將切換電路44的輸出信號45與第二CRC檢驗電路47的輸出信號相加的第一「或」門電路，49為將第一CRC檢驗電路46的輸出信號與相應於電動列車的行駛速度的速度頻率5相加的第二「或」門電路。
ATP指令速度信號8是由微計算機10和11來處理的，各控制數據輸入到單片邏輯單元14的系統A和B的邏輯電路。
即，來自微計算機10的第一控制數據120被存儲在系統A的第一存儲器30內，第二控制數據121被存儲在系統A的第二存儲器31內，而來自微計算機11的第三控制數據130被存儲在系統B的第一存儲器40，第二控制數據131被儲存在系統B的第二存儲器41內。
圖9描述的是從微計算機10和11存儲到存儲器30、31、40和41內的數據。
微計算機10將ATP指令速度信號5轉換成n定數據D0X至D14X，當同時將生成多項式設置為G0(X)時，處理並得到數據D0X至D14X的CRC數據32(即DCRCX1)，並將該數據存儲到圖9中所示的(1)中，其中，CRC數據32(即DCRCX1)在第一存儲器30的地址A0S至A15S處被加到數據D0X至D14X上。
當生成多項式被設置為G1(X)時，微計算機10處理並得到數據D0X至D14X的CRC數據33(即DCRCX2)，並將該數據存儲到圖9中所示的(2)中，其中，CRC數據33(即DCRCX2)在第二存儲器31的地址A0T至A15T處被加到數據D0X至D14X。
微計算機11將ATP指令速度信號5轉換為n字數據D0Y至D14Y，當同時將生成多項式設定為G2(X)時，處理並得到數據D0Y至D14Y的CRC數據42(即DCRCY1)，並將該數據存儲在圖9中所示的(3)中，其中，CRC數據42(即DCRCY1)在第一存儲器40的地址A0U至A15U處被加到數據D0Y至D14Y上。
當生成多項式被設定為G3(X)時，微計算機11處理並得到數據D0Y至D14Y的CRC數據43(即DCRCY2)，並將數據存儲到圖9中所示的(4)中，其中，CRC數據43(即DCRCY2)在第二存儲器41的地址A0V至A15V處，被加到數據D0Y至D14Y上。
系統A的第一存儲器30的地址A0S至A15S以及第二存儲器31的地址A0T至A15T處存儲的數據從並行變換成串行，從低次位至高次位依次讀取，並輸入到切換電路34。
以同樣的方式，系統B的第一存儲器40的地址A0U至A15U以及第二存儲器41的地址A0V至A15V處存儲的數據從並行變換成串行，從低次位至高次位被依次讀取，並輸入至切換電路17。
從讀取地址A0n至A15n到由頻率比較器152和162進行處理的時間間隔是一個處理周期。
系統A的第一CRC檢驗電路36是與生成多項式G0(X)對應的電路，而第二CRC檢驗電路37是與生成多項式G1(X)對應的電路。
系統B的第三CRC檢驗電路46是與生成多項式G2(X)對應的電路，而第四CRC檢驗電路是與生成多項式G3(X)對應的電路。
假設系統A的故障檢測信號154和系統B的故障檢測信號164首先處於L狀態。於是，系統B的符號反轉故障檢測信號165為H。
通過系統B的H狀態符號反轉信號165，系統A的切換電路34切換至讀取第一存儲器30的數據一端，系統B的切換電路通過系統A的L狀態符號反轉信號154切換至讀取第二存儲器41的數據一端，並假設所有數據和內部電路正常。
系統A的第一存儲器30的地址A0S至A14S處的數據D0X至D14X以及第二存儲器31的地址A0T至A14T處的數據D0X至D14X通過切換電路34和第一邏輯電路38輸入到頻率轉換器150，並變換成相應於各數據的ATP指令速度頻率frn，而地址A0S至A14S以及A0T至A14T處的數據D0X至D14X輸入到第一CRC檢驗電路36和第二CRC檢驗電路37，並在地址A15S和A15T處用CRC數據DCRCX1和DCRCX2進行檢驗。
因此，構築成在地址A15S和A15T處的CRC數據DCRCX1和DCRCX2全部讀取和檢驗之前，第一檢驗電路36和第二檢驗電路37的中間檢驗結果不輸出。
地址A15S和A15T處的CRC數據DCRCX1和DCRCX2構築成不進行頻率轉換。
以同樣的方式，系統B的第一存儲器40的地址A0U至A14U處的數據D0Y至D14Y以及第二存儲器41的地址A0V至A14V處的數據D0Y至D14Y通過切換電路44和第一邏輯電路48輸入到頻率轉換器160，並變換成與各數據對應的ATP指令速度頻率frn，而地址A0U至A14U以及A0V至A14V處的數據D0Y至D14Y輸入到第一CRC檢驗電路46和第二CRC檢驗電路47，並在地址A15U和A15V處，用CRC數據DCRCY1進行檢驗。
因此，構築成在地址A15U和A15V處的CRC數據DCRCY1和DCRCY2全部讀取和檢驗之前，第一檢驗電路46和第二檢驗電路47的中間檢驗結果不輸出。
地址A15U和15V處的CRC數據DCRCY1和DCRCY2構築成不進行頻率轉換。
首先，系統A的第一存儲器30的地址A0S處的1字數據通過「或」門電路輸入到頻率轉換器150，並轉換成與1字數據對應的ATP指令速度頻率fr0。
另一方面，由於第一CRC檢驗電路36和第二CRC檢驗電路37在檢驗數據，所以其輸出為L。
隨後，地址A1S處的1字數據通過「或」門電路38輸入至頻率轉換器150，並轉換成與地址A1S處的1字數據對應的ATP指令速度頻率fr1。另外，作為「或」門電路39輸出的輸入頻率fi1為L。
以後，以同樣的方式，每個1字數據轉換成與地址A14S處的數據對應的ATP速度頻率fr14。
最後地址A15S處的1字CRC數據DCRCX1(生成多項式G0(X)生成的數據)由第一檢驗電路36(與生成多項式G0(X)對應的電路)判定為正常，從而其輸出為L。然而，由於1字CRC數據DCRCX1由第二CRC檢驗電路37(與生成多項式G1(X)對應的電路)判定為異常，所以，其輸出為H。
該第二CRC檢驗電路的輸出通過「或」門電路38輸入到頻率轉換器150，作為最大數據，並轉換成最大頻率fr15。
另外，作為「或」門電路39輸出的輸入頻率fi15是L。
頻率比較器152將以這種方式獲得的與每一地址處的數據對應的頻率frn與輸入頻率fin進行比較。
在頻率比較器152中，當ATP指令速度頻率frn和加入的頻率fin之間的關係為frn＞fin時，內部計數器(未圖示)值加1，而當該關係為frn＜fin時，計數器值減1，當frn＝fin時，計數器值既沒有加上也未減去任何值。
在第一個處理周期中，與地址A0S至A14S對應的計數器值加1。在第二個處理周期中，再次從地址A0S處讀取數據，以上述同樣的操作使頻率比較器152的計數值遞增。
在第四個處理周期過去以後並且頻率比較器152的計數值達到4時，就獲得了相應於A0S至A15S中每一地址的輸出信號。
圖10描述的是由系統A的地址A15S處的CRC檢驗結果而產生的頻率比較器152的計數器操作、由系統B的地址A15U處的CRC檢驗結果而產生的頻率比較器162的計數器操作以及使故障檢測信號164的符號反轉的符號反轉信號165之間的關係。
當計數器值由藉助遞增計數脈衝達到4時，就獲得了頻率比較器的輸出信號17。由於這一輸出信號17是串行輸出的，所以頻率比較器152檢測相應於與定時信號(未圖示)同步的地址A15S的H狀態故障檢測信號154，並將其輸入至系統B的存儲器切換電路44。
切換電路44在與下一處理周期開始精確同步的時刻，將存儲器41切換至存儲器40，從而在第六個處理周期的開始處使系統B的存儲器實際得到切換。
存儲器40的地址A0U至A14U處存儲的數據精確地與存儲器41的地址A0V至A14V處存儲的數據相同，從而即使存儲器41被切換至存儲器40，ATP指令速度頻率frn也不會改變，輸入頻率fin也不會改變。
因此，頻率轉換器160的輸出頻率不會改變。只有地址A15U處存儲的CRC數據42(DCRCY1)和地址A15V處存儲的CRC數據43(DCRCY2)是不同的，所以下面僅描述讀取地址A15U和A15V處的數據時的操作。
當存儲器41被切換至存儲器40時，CRC數據42(由生成多項式生成的數據)被讀取。由於第一CRC檢驗電路46(對應於生成多項式G2(X)的電路)判定CRC數據42正常，所以其輸出為L。然而，因為第二CRC檢驗電路47(與生成多項式G3(X)對應的電路)判定該數據異常，所以其輸出為H。
因為第一CRC檢驗電路46的輸出是L，所以「或」門電路49的輸出也為L，輸入頻率fi15也為L。
另外，第二CRC檢驗電路47的H狀態輸出通過「或」門電路48輸入到頻率轉換器160，並轉換成最大頻率fr15。
這一最大頻率fr15和輸入頻率fi15輸入到頻率比較器16並進行比較。因為最大頻率fr15和輸入頻率fi15之間的關係為fr15＞fi15，所以頻率比較器162的計數值遞增1。
隨後，通過系統A的同一操作，頻率比較器162的計數值遞增1，並且當計數值達到4時，就得到了與地址A0U至A15U中每一地址對應的輸出信號18。
頻率比較器162檢測與同步於定時信號(未圖示)的輸出信號18的地址A15U對應的H狀態故障檢測信號164，並將由反相器19進行符號反轉的L狀態符號反轉信號165加到系統A的存儲器切換電路34上。
當輸入符號反轉信號165時，系統A的存儲器開關電路34從緊接的第11個周期起，將存儲器30切換至存儲器31。
在存儲器30和存儲器31之間，只有地址A15S處存儲的CRC數據32(DCRCX1)和地址A15T處存儲的CRC數據33(DCRCX2)是不同的，從而當如上所述切換存儲器時，頻率是不改變的。
由於存儲器31的CRC數據是生成多項式G1(X)的數據，所以它由CRC檢驗電路36判定為異常，該電路的輸出信號變為H。這一輸出信號通過第二「或」門電路39輸入到頻率轉換器152，作為最大頻率fi15。
另一方面，由於存儲器31的CRC數據33是由生成多項式G1(X)生成的數據，所以由CRC檢驗電路37判定為正常，該電路的輸出信號變成L，「或」門電路38的輸出信號也變為L，頻率轉換器150的參考頻率fr15也變成L。
因此，參考頻率fr15和輸入頻率fi15之間的關係變成fr15＜fi15，並給出遞減計數脈衝，從而頻率比較器152的計數值減1，計數值從4變為3。
當頻率比較器152的計數值變為0時，頻率比較器152的輸出信號17變為L，與地址A15T對應的故障檢測信號154也變為L。
隨後通過相同的操作，由自身系統的頻率比較器的故障檢測信號來交替地切換對立系統的存儲器。
當如上所述，系統A的存儲器30和31及其讀出數據、二CRC檢驗電路36和37、系統B的存儲器40和41及其讀出數據以及二CRC檢驗電路46和47為正常時，無論存儲器是否改變，故障檢測信號154和164均交替地改變為H或L。
例如，當系統A的存儲器30中的數據出現差錯時，會出現下述情況。CRC檢驗電路36測出存儲器30中的數據差錯，其輸出信號變為H。
另一方面，CRC檢驗電路37一開始就輸入由另一生成多項式生成的CRC數據，從而其輸出信號也變為H。即，由於二檢驗電路的輸出信號變為H，所以頻率比較器152的計數值和輸出均不會改變。
因此，用來將系統B的存儲器41切換到存儲器40的故障檢測信號固定在出現故障的H或L狀態，存儲器不會從41切換到40。
結果，頻率比較器162的計數值將不會遞增，故障檢測信號固定在L狀態。因此，符號反轉故障檢測信號165固定在H，系統A的存儲器30不會切換到存儲器31，CRC檢測電路36和37的輸出信號固定在H。
上面是數據中出現差錯的一個例子。然而，當電路中的一個出現故障時，將使得頻率比較器152和162的計數值固定，故障檢測信號154和164的交替變換停止，因而最好監測故障檢測信號154和164的交替變化。
當將這種產生信號的方法應用於列車ATP裝置時，如果故障檢測信號154和164的交替變化停止，可以用作指令緊急制動的手段。
當這一電路包含一LSI並與包括外圍電路的一塊晶片組合在一起時，可以實現微型化以及批量生產，並具有ATP裝置所保持的可靠性。
由於如上所述該ATP裝置構成一個帶有故障檢測信號154和故障檢測信號164的故障檢測環路，所以通過監測故障檢測信號154和164中的一個，儘管該故障檢測環路以外處的故障無法檢測，也可以檢測環路中的故障。為了防止由於該故障檢測環路以外的某一點中的故障而使不正確的信號輸出，或者正確的信號卻不輸出，通過核對器20來核對故障檢測信號154和164，並且當核對相符時，核對器20輸出一信號，而當出現不相符時，核對器20輸出一緊急控制信號。
核對器20比較系統A的頻率比較器152的輸出信號17以及系統B的頻率比較器162的輸出信號18。如上所述，因為輸出信號17和輸出信號18以地址信號的順序依次輸出，核對器20比較分別與每一地址對應的信號，並且僅輸出核對相符信號。當出現不相符時，核對器20會輸出緊急控制信號，或者將其顯示在顯示單元上。
因此，通過這一結構，可以構成失效保護系統。
如上所述，本發明提供了一個數據分別採用不同的生成多項式而得的兩個CRC數據，並產生了加入了CRC數據的兩種系統的控制數據，提供了與不同的生成多項式對應的兩種檢驗電路。
這種方法用來將兩種系統的控制數據同時輸入到兩種檢測電路，並用比較兩種檢驗電路的輸出而得到的結果來切換兩種系統的數據。
因此，不僅在數據中而且在檢測電路中均可以檢測差錯，並且進一步核對輸出，僅當核對相符時才輸出。其優點還在於，可以採用其中每一電路都包含一LSI晶片來更加可靠地構築失效保護系統。
下面描述圖1和圖8中所示頻率轉換器150(160)的運行。
圖11描述了將數字數據轉換成頻率的頻率轉換器，而圖12是該頻率轉換器運行的流程圖。
圖11中，標號50表示存儲器，51為時鐘信號CN，52為數據寄存器，53為數據寄存器52的輸出信號，54為1位全加器，55為全加器54的全加輸出，56為時鐘信號CP，57為處理移位寄存器，58為移位寄存器57的輸出信號，59為定時調整用的第一觸發器，60為該觸發器59的輸出信號，61為全加器54的進位輸出信號，62為保持進位輸出信號61的第二觸發器，63為觸發器62的輸出信號，64為定時信號，65為從進位輸出信號61中去除預定輸出信號的「與」電路，66為頻率轉換器的輸出信號。
為了使操作的描述簡單，假定數據長度為4位，從存儲器50中周期性地讀出同值的數據，數據寄存器52和移位寄存器57的數據沿圖中上方所示的箭頭方向移位。
時鐘信號CN51和時鐘信號CP56是如圖12中(1)和(2)所示的具有90度相位差的時鐘信號。
在初始狀態時，數據寄存器52和移位寄存器57的初始值為02(這就意味著二進位的數據值是0)。
假定在時鐘信號CP56的上升沿，從存儲器50讀取圖12中(3)所示的數據值82(二進位的數據值是8)。由於這一數據是在時鐘信號CN51的上升沿處在數據寄存器52中設置的，所以最高有效位DR3至最低有效位DR0的設置如圖12中的(4)所示。
當圖12中(4)所示的數據在時鐘信號CN51的上升沿移位四次時，數據寄存器52的最低有效位DR0的值設值成如圖12中(7)所示，並作為輸出信號53加到全加器54的輸入端A上。
本例中，第一觸發器59的輸出信號60和第二觸發器62的輸出信號不加到全加器54的輸入端B和C上，因而全加器54的全加輸出端∑處的輸出信號如圖12中(8)所示變成H，並加到移位寄存器57上。全加器54的進位輸出端Cr處的輸出信號61如圖12所示變成L。
因為在如圖12中(2)所示的時鐘信號CP56的上升沿處，全加器54的輸出信號55置入移位寄存器57，所以移位寄存器57的最低位SR0設置成如圖12中(9)中那樣。
數據82(十進位中為8)是在同一時鐘信號CP56的上升沿處從存儲器50中讀取的，並且是在時鐘信號CN51的上升沿處在數據寄存器52上移位的。
另一方面，移位寄存器57的最低有效位SR0的數據是在時鐘信號CP56的上升沿處在移位寄存器57上移位的，並且最高有效位SR3在第7次移位時變成H，移位寄存器57的輸出信號58變成H。
因為輸出信號58在時鐘信號CP56的上升沿處置入第一觸發器59，所以其輸出信號在圖12中(13)所示的第8次移位時變成H，並輸入到全加器54的輸入端B處。
另一方面，數據寄存器52的最低有效位DR0在第8次移位時也變成H，並輸入到全加器54的輸入端A。
結果，儘管進位輸出端Cr的輸出信號61變成H，全加器54的全加輸出端∑處的輸出信號55變成L。在下一時鐘信號CN51的上升沿處將輸出信號61置入第二觸發器中，並且將圖12中(15)中所示的輸出信號63輸入到全加器54的輸入端C。
因此，全加器54的全加輸出端∑處的輸出信號變成H，並在移位寄存器57上移位。
由於上述操作是周期性重複的，所以圖12中所示的數據在數據寄存器52和移位寄存器57中循環。通過將這時產生的全加器54的進位輸出信號61加到「與」門上，並通過定時信號64來析取，可以得到圖12中(16)中所示周期固定的輸出信號。
上面描述的是將數字數據變換成頻率的操作情況。為了獲取兩種頻率，從存儲器50中交替地讀取並處理不同的數據。因此，最好將移位寄存器57的位數加倍成8位，並製備兩個「與」門和一個定時信號，以便從全加器54的進位輸出信號61取出預定的頻率。通過如此改變移位寄存器57的位長度，圖10中所示的頻率轉換器可以產生多種頻率。
下面描述圖1和圖8所示的頻率比較操作。頻率比較器如圖13所示，其操作時序圖如圖14所示。圖13中，標號70至73表示觸發器，74至79表示「與」門，P和M為要比較的輸入頻率信號，80為頻率比較結果的輸出信號。
例如，當輸入P信號時，它使觸發器70至73中最靠近輸入端的一個觸發器反相併動作而成Q＝H，而當相反輸入M信號時，它使觸發器70至73中Q＝H並且最靠近輸入端的一個反相併動作，而成Q＝L。
當如圖14所示連續輸入輸入信號P時，觸發器70與信號P的第一脈衝P1的下降沿同步動作，Q0變成H，而當第二脈衝P2輸入時，觸發器70與「與」門74的輸出的下降沿同步動作，Q1變成H，而當第三脈衝P3輸入時，觸發器72與「與」門76的輸出下降沿同步動作，Q2變成H，而當信號P的第四脈衝P4輸入時，觸發器73與「與」門78的輸出下降沿同步動作，Q3變成H。
當輸入信號M連續輸入時，觸發器70與信號M的第一脈衝M1的下降沿同步動作，Q0從H變成L，當第二脈衝M2輸入時，觸發器71與「與」門75的下降沿同步地動作，Q1從H變為L，當第三脈衝M3輸入時，觸發器72與「與」門77的下降沿同步地動作，Q2從H變成L，而當第四脈衝M4輸入時，觸發器73與「與」門79的下降沿同步地動作，Q3從H變為L。
如上所述，當脈衝數增多時，能將後續級觸發器的輸出狀態反相，而當P＞M時，觸發器FF3的Q3變為H，即，頻率比較結果的輸出信號80變成H。當P＜M時，輸出信號80變成L。
當比較多個頻率時，採用圖15中所示的結構。圖15中，標號90表示移位寄存器，其具有的位數為4，與圖13中所示觸發器70至73的4位長度相等，91表示加法器，其具有的功能使得移位寄存器90上的數據可以進行如圖13中所示觸發器70至73的反相那樣的相同的操作。
符號In代表一時隙，其中編入4位數據，該時隙將信號P輸入到加法器91的+A端，並將信號M輸入到-C端。假設P＞M。
頻率比較操作比較某一脈衝的存在或不存在，因而在該狀態下P＝H，並且M＝L。由於M的符號反轉信號H輸入到-C端並求和，所以進位輸出Cr變為H，並且將這一值加到移位寄存器90的I0時隙。
這一I0時隙的數據在移位寄存器處循環，在下一周期的I0時隙內被輸入到加法器91的+B端，並與P輸入和M輸入加在一起，從而在這種情況下加法器的進位輸出Cr也變為H，與前一數據具有相同值的數據在移位寄存器90上循環。
當P＜M時，加入使P＝L以及M＝H的符號反轉的信號L，從進位輸出Cr變為L，即相減，並且該值被加到移位寄存器90的I0時隙。這就是說，L在移位寄存器90上循環。
當P＝M＝H時，加入使P＝L以及M＝H的符號反轉的信號L。然而，進位輸出Cr的值隨I0時隙內在移位寄存器90上循環的數據而變化。當I0時隙的數據為L時，該輸出Cr也變成L，當I0時隙的數據為H時，該輸出Cr變為H。這就是說，在移位寄存器90上循環的I0時隙的數據不會改變。
當P＝M＝L時，加入使P＝L以及M＝H的符號反轉的信號H。同樣在這種情況下，進位輸出Cr的值隨著移位寄存器90上循環的I0時隙的數據而變化。當I0時隙的數據為L時，該輸出Cr變成L，而當I0時隙的數據為H時，該輸出變為H。這就是說，在移位寄存器90上循環的I0時隙的數據不會改變。
頻率比較操作就是通過這種方式來進行的。
圖16描述的是本發明的另一個實施例。按照圖8中所示的實施例，系統A在邏輯電路15中具有兩個存儲器30和31的電路，並且輸出數據35是採用通過切換電路34選擇各存儲器輸出數據的方法而獲得的。同樣，系統B在邏輯電路16中具有兩個存儲器40和41的電路，並且輸出數據是採用通過切換電路44選擇各存儲器輸出數據的方法而獲得的。
圖16所示的本實施例與圖8所示的實施例的不同點在於，系統A和系統B的邏輯電路15和16中的各存儲器包含一個電路，分配在每一存儲器的最後地址上的CRC數據存儲在另一區域內，並由上述故障檢測信號來切換。
即，採用上述同一方法由微計算機10計算的CRC數據DCRCX1存儲在系統A的存儲器32內，DCRCX2存儲在存儲器33內，由微計算機11計算的DCRCY1存儲在系統B的存儲器42內，DCRCY2存儲在存儲器43內。
在系統A中，從存儲器30讀取的數據由邏輯電路200加到CRC數據32中，從存儲器30讀取的數據由邏輯電路201加到CRC數據33上，然後將所得二數據輸入到切換電路34。
在系統B中，從存儲器40讀取的數據由邏輯電路202加到CRC數據42上，從存儲器40讀取的數據由邏輯電路203加到CRC數據43上，然後將所得二數據輸入到切換電路44。用於切換電路34和44的切換定時與上述相同。
在如圖16所示的本發明的另一個實施例中，需要最大門電路數的存儲器數可以減少一半，不僅可以極大改進可靠性，而且對減小LSI的功耗具有很大的影響。
圖17是本發明的另一種實施例。圖17所描述的例子中，每一內部存儲器包含一個電路。圖8和圖17之間的差異在於，儘管每一存儲器的輸出是由圖8中的切換電路切換的，但在圖17中切換CRC數據。採用如上所述的方法由微計算機10計算的CRC數據DCRCX1存儲在系統A的存儲器32內，而DCRCX2存儲在存儲器32後的存儲器33內。微計算機11計算的DCRCY1存儲在系統B的存儲器42內，DCRCY2存儲在存儲器42後的存儲器43內。
CRC數據是用故障檢測信號154以及符號反轉故障檢測信號由切換電路204和205來切換的。同時在圖17所示本發明的另一種實施例中，需要最大門電路數的存儲器數可以減少一半，從而不僅極大提高了可靠性，而且對減少LSI的功耗具有很大的影響。
圖18描述的是本發明的另一個實施例。圖18描述的例子中，每一內部存儲器還包含一個電路。與圖17的差別在於，CRC數據由每一切換電路來切換，而隨後每一存儲器的輸出信號和每一切換電路的輸出信號由加法器相加在一起。
系統A的切換電路34用符號反轉故障檢測信號165來切換CRC數據32和CRC數據33，系統B的切換電路44用故障檢測信號154來切換CRC數據42和CRC數據43。同時，在圖18所示本發明的另一個實施例中，需要最大門電路數的存儲器數可以減少一半，並且加法器數可以進一步減少一半，從而不僅極大提高了可靠性，而且對減少LSI的功耗具有很大影響。
圖19是圖8中本發明另一實施例的示意平面圖。標號300表示從微計算機10接收數據並將數據發送到微計算機10的總線接口，301和302表示用來存儲數據的存儲器，303表示諸如存儲器切換電路、頻率轉換器以及頻率比較器之類的處理器，304表示將數據發送到微型計算機11以及從微型計算機11接收數據的總線接口，305和306表示存儲數據的存儲器，307代表諸如存儲器切換電路、頻率轉換器以及頻率比較器之類的處理器，而308代表核對系統A的處理器303的輸出信號和系統B的處理器307的輸出信號用的核對器。
當系統A和B雙重化並相互分開排列時，可以防止一系統的故障對另一系統的影響，例如雖然一個系統出故障，但仍然輸出信號，就好象不出故障一樣。
當構成核對器單元的電路相互隔開放置而且導線間隔增大時，可以防止一個核對器的故障對其他核對器的影響，不會輸出指令信號。
本發明的另一個實施例如圖20所示，其描述如下。圖20描述的實施例中，配置了多個與圖2中相同的處理器。
標號2000表示控制器，2010代表用來輸入並處理第一輸入數據並輸出第一輸出數據2100和第一檢測信號2140的第一處理器，2020代表用來輸出第二輸出數據2110和第二檢測信號2150的第二處理器，2030代表用來輸出第三輸出數據2120和第三檢測信號2160的第三處理器，2040代表用來輸出第四輸出數據2130和第四檢測信號2170的第四處理器，2180代表發送從第一處理器2010輸出到第二處理器2020的第一檢測信號2140的第一發送器，2190為發送從第二處理器2020輸出到第三處理器2030的第二檢測信號的第二發送器，2200為發送從第三處理器2030輸出到第四處理器2040的第三檢測信號2160的第三發送器。
通過採用分別使用各故障檢測信號的雙重化結構，來切換相應檢測器的CRC數據，僅當所有的數據電路以及元件運行正常時，才輸出控制受控對象的輸出信號，並且當測出某一部件故障時，不會輸出輸出信號。因此，當發生故障時，可起失效保護作用，以便在非失效端進行控制。
如上所述，按照本發明，可以實現具有極高失效保護性能的控制器以及採用這種控制器的系統。
權利要求
1.一種自動列車保護(ATP)裝置，其特徵在於，包括第一邏輯單元，該邏輯單元包含第一故障檢測器，用其中一種CRC數據，根據指令電動機車速度的ATP指令速度信號，校驗至少包含兩種CRC數據的第一控制數據，並輸出第一故障檢測信號；將所述第一控制數據變換為第一ATP指令速度頻率信號的第一頻率變換器；第一頻率比較器，用於比較與所述電動機車的所述檢測出的速度成正比的速度頻率信號和所述第一ATP指令速度頻率信號，並根據所述速度頻率信號和所述第一ATP指令速度頻率信號之間偏差，輸出一第一輸出信號，該ATP裝置還包括第二邏輯單元，該邏輯單元包含第二故障檢測器，用其中一種CRC數據，根據所述ATP指令速度信號，校驗至少包含兩種CRC數據的第二控制數據，並輸出第二故障檢測信號；將所述第二控制數據變換為第二ATP指令速度頻率信號的第二頻率變換器；第二頻率比較器，用於比較所述速度頻率信號和所述第二ATP指令速度頻率信號，並根據所述速度頻率信號和所述第二ATC指令速度頻率信號之間偏差，輸出一第二輸出信號，該ATP裝置還包括一核對器，將所述第一輸出信號與所述第二輸出信號進行對照，並輸出交變信號，該ATP裝置用所述第一故障檢測信號改變或控制所述第二故障檢測器的所述CRC數據，並用所述第二故障檢測信號改變或控制所述第一故障檢測器的所述CRC數據。
2.如權利要求1所述的ATP裝置，其特徵在於，可進一步包括連接在所述第一故障檢測器輸出端和所述第二故障檢測器輸入端之間的第一信號線，用於發送一由所述第一故障檢測信號改變所述第二故障檢測器的所述CRC數據的信號；連接在所述第二故障檢測器輸出端和所述第一故障檢測器輸入端之間的第二信號線，用於發送一由所述第二故障檢測信號改變所述第一故障檢測器的所述CRC數據的信號。
3.如權利要求2所述的ATP裝置，其特徵在於，所述第一信號線和所述第二信號線其中之一具有一邏輯電路，用於使所述第一或第二故障檢測信號反相。
4.如權利要求1所述的ATP裝置，其特徵在於，進一步包括被輸入一指令電動列車速度的ATP指令速度信號並產生至少包含兩種CRC數據的第一控制數據的第一微型計算機；被輸入所述ATP指令速度信號並產生至少包含兩種CRC數據的第二控制數據的第二微型計算機；第一故障檢測器，用其中一種所述CRC數據校驗從所述第一微型計算機輸入的所述第一控制數據，並輸出第一故障檢測信號；第二故障檢測器，用其中一種所述CRC數據校驗從所述第二微型計算機輸入的所述第二控制數據，並輸出第二故障檢測信號；用所述第一故障檢測信號改變或控制所述第二控制數據的所述CRC數據，並用所述第二故障檢測信號改變或控制所述第一控制數據的所述CRC數據。
5.如權利要求4所述的ATP裝置，其特徵在於，進一步包括一連接在所述第一故障檢測器輸出端和所述第二故障檢測器輸入端之間的第一信號線，用於發送一根據所述第一故障檢測信號改變所述第二故障檢測器的所述CRC數據的信號；一連接在所述第二故障檢測器輸出端和所述第一故障檢測器輸入端之間的第二信號線，用於發送一根據所述第二故障檢測信號改變所述第一故障檢測器的所述CRC數據的信號。
6.如權利要求5所述的ATP裝置，其特徵在於，所述第一信號線和所述第二信號線其中之一具有一邏輯電路，用於使所述第一或第二故障檢測信號反相。
7.如權利要求4所述的ATP裝置，其特徵在於，進一步包括一安裝在電動機車外側的信號發生器，用於產生一指令所述電動機車速度的ATP指令速度信號；安裝在所述電動機車內側的接收機，用於接收來自所述信號發生器的所述ATP指令速度信號；一安裝在所述電動機車內側的速度檢測器，用於檢測所述電動機車速度並產生與所述速度成正比的速度頻率信號；該安裝在所述電動機車內側的ATP裝置，用於根據所述ATP指令速度信號和所述速度頻率信號控制所述電動機車的速度，其中，第一微型計算機被輸入所述接收機輸出的所述ATP指令速度信號並產生至少包含兩種CRC數據的第一控制數據；第二微型計算機被輸入所述接收機輸出的所述ATP指令速度信號並產生至少包含兩種CRC數據的第二控制數據；第一故障檢測器用其中一種所述CRC數據校驗從所述第一微型計算機輸入的所述第一控制數據，並輸出第一故障檢測信號；第二故障檢測器用其中一種所述CRC數據校驗從所述第二微型計算機輸入的所述第二控制數據，並輸出第二故障檢測信號；核對裝置被輸入所述第一故障檢測信號、所述第一輸出信號、所述第二故障檢測信號和所述第二輸出信號，根據所述第一和第二故障檢測信號，將所述第一與第二輸出信號進行對照，並輸出交變信號，該交變信號中所述第一和第二輸出信號交替出現，還包括一安裝在所述電動機車內側的制動裝置，用於輸入所述交變信號，控制制動力，驅動制動器。8.如權利要求7所述的ATP裝置，其特徵在於，進一步包括一連接在所述第一故障檢測器輸出端和所述第二故障檢測器輸入端之間的第一信號線，用於發送一根據所述第一故障檢測信號改變所述第二故障檢測器的所述CRC數據的信號；一連接在所述第二故障檢測器輸出端和所述第一故障檢測器輸入端之間的第二信號線，用於發送一根據所述第二故障檢測信號改變所述第一故障檢測器的所述CRC數據的信號。
9.如權利要求8所述的ATP裝置，其特徵在於，所述第一信號線和所述第二信號線其中之一具有一邏輯電路，用於使所述第一或第二故障檢測信號反相。
10.如權利要求1所述的ATP裝置，其特徵在於，進一步包括第一微型計算機，被輸入指令電動機車速度的ATP指令速度信號，並產生疊加有第一CRC數據的第一控制數據和疊加有第二CRC數據的第二控制數據；第二微型計算機，用於產生疊加有第三CRC數據的第三控制數據和疊加有第四CRC數據的第四控制數據，第一邏輯單元進一步包含存儲第一微型計算機輸出的所述第一控制數據的第一存儲器；存儲所述第二控制數據的第二存儲器；對所述第一存儲器和第二存儲器進行切換的第一切換電路；對所述第一切換電路的輸出數據進行校驗的第一故障檢測器和第二故障檢測器；用於將所述第一切換電路的所述輸出數據和所述第二故障檢測器的輸出信號相加的第一加法器；用於將與所述電動機車速度成正比的速度頻率信號與所述第一故障檢測器的輸出信號相加的第二加法器；第一頻率變換器將所述第一加法器的輸出信號變換為ATP指令速度頻率信號；第一頻率比較器比較所述第二加法器的輸出信號和所述第一頻率變換器的輸出信號，並根據兩者之間的偏差，輸出第一輸出信號和第一故障檢測信號；第二邏輯單元進一步包含存儲所述第二微型計算機輸出的所述第三控制數據的第三存儲器；存儲所述第四控制數據的第四存儲器；對所述第三存儲器和第四存儲器進行切換的第二切換電路；校驗所述第二切換電路的輸出數據的第三和第四故障檢測器；用於將所述第二切換電路的所述輸出數據與所述第四故障檢測器的輸出信號相加的第三加法器；用於將與所述電動機車速度成正比的速度頻率信號和所述第三故障檢測器的輸出信號相加的第四加法器；第二頻率變換器將所述第三加法器的輸出信號變換成ATP指令速度頻率信號；第二頻率比較器比較所述第四加法器的輸出信號和所述第二頻率變換器的輸出信號，並根據兩者之間的偏差，輸出第二輸出信號和第二故障檢測信號；核對器分別將所述第一邏輯單元的所述第一輸出信號與所述第二邏輯單元的所述第二輸出信號、所述第一故障檢測信號與所述第二故障檢測信號進行對照，並輸出交變信號；所述第一故障檢測信號控制所述第二切換電路並切換所述第三控制數據和所述第四控制數據；所述第二故障檢測信號控制所述第一切換電路並切換所述第一控制數據和所述第二控制數據。
11.如權利要求10所述的ATP裝置，其特徵在於，所述裝置具有一使得用於控制所述第一切換電路的所述第二故障檢測信號其中之一的極性和用於控制所述第二切換電路的所述第一故障檢測信號其中之一的極性相反的邏輯電路。
12.如權利要求10所述的ATP裝置，其特徵在於，所述第一微型計算機輸入指令電動機車速度的所述ATP指令速度信號時產生所述第一控制數據、用於所述第一控制數據的所述第一CRC數據和所述第二CRC數據；所述第二微型計算機輸入指令電動機車速度的所述ATP指令速度信號時產生所述第二控制數據、用於該第二控制數據的所述第三CRC數據和所述第四CRC數據；一第五加法器將所述第一控制數據和所述第一CRC數據相加的輸出信號，以及一第六加法器將所述第一控制數據和所述第二CRC數據相加的輸出信號均輸入到所述第一切換電路；一第七加法器將所述第二控制數據和所述第三CRC數據相加的輸出信號，以及一第八加法器將所述第二控制數據和所述第四CRC數據相加的輸出信號均輸入到所述第二切換電路。
13.如權利要求10所述的ATP裝置，其特徵在於，所述第一微型計算機輸入指令電動機車速度的所述ATP指令速度信號時產生疊加有所述第一CRC數據和第二CRC數據的所述第一控制數據；所述第二微型計算機輸入指令電動機車速度的所述ATP指令速度信號時產生疊加有所述第三CRC數據和所述第四CRC數據的所述第二控制數據；所述第一微型計算機輸出的所述第一控制數據存儲到所述第一存儲器中；所述第一存儲器的輸出信號輸入到所述第一故障檢測器、所述第二故障檢測器和所述第一加法器；所述第二微型計算機輸出的所述第二控制數據存儲到所述第二存儲器中；所述第二存儲器的輸出信號輸入到所述第三故障檢測器、所述第四故障檢測器和所述第三加法器；所述第二切換電路由所述第一故障檢測信號對所述第三CRC數據和所述第四CRC數據進行切換；所述第一切換電路由所述第二故障檢測信號對所述第一CRC數據和所述第二CRC數據進行切換。
14.如權利要求10所述的ATP裝置，其特徵在於，所述第一微型計算機輸入指令電動機車速度的ATP指令速度信號時產生第一控制數據、所述第一CRC數據和所述第二CRC數據；所述第二微型計算機輸入指令電動機車速度的ATP指令速度信號時產生第二控制數據、所述第三CRC數據和所述第四CRC數據；所述第一CRC數據和所述第二CRC數據輸入到所述第一切換電路；所述第一切換電路的輸出信號和所述第一控制數據加到第五加法器；所述第三CRC數據和第四CRC數據輸入到所述第二切換電路；所述第二切換電路的輸出信號和所述第二控制數據加到第六加法器；所述第五加法器的輸出信號輸入到所述第一加法器、所述第一故障檢測器和所述第二故障檢測器；所述第六加法器的輸出信號輸入到所述第三加法器、所述第三故障檢測器和所述第四故障檢測器。
15.如權利要求1至14中任一項所述的ATP裝置，其特徵在於，在處理並行輸入信號後定期執行故障診斷處理操作。
16.如權利要求1至14中任一項所述的ATP裝置，其特徵在於，當所述多個處理器均正常時，所述輸入信號、所述輸出信號和所述故障檢測信號為交替變化的交變信號。
17.如權利要求4、7和10中任一項所述的ATP裝置，其特徵在於，所述核對器將所述第一輸出信號、所述第二輸信號、所述第一故障檢測信號和所述第二故障檢測信號進行對照，並當所述第一和第二輸出信號核對彼此不符，而且所述第一和第二故障檢測信號核對彼此不符時，終止交替，當所述第一和第二故障檢測信號核對彼此不符時通過該交替的停止向所述電動機車輸出一緊急制動信號。
全文摘要
一種具有高可靠性失效保護功能的控制器和系統。其中，ATP裝置根據ATP指令速度信號產生用於兩系統的控制數據，使所含邏輯單元雙重化以處理各控制數據，並提供至少兩種CRC數據校驗各系統的控制數據。根據各邏輯單元故障檢測信號的內容，改變其CRC數據，或從中選擇一邏輯單元。可檢驗各邏輯電路操作和控制數據，僅當所有數據、電路和元件工作正常時輸出信號，進行所需控制。當某部分檢測到故障時輸出制動信號。
文檔編號G06F11/16GK1446724SQ02140558
公開日2003年10月8日 申請日期2002年7月1日 優先權日1994年12月28日
發明者佐藤寬, 金川信康, 能見誠, 田代維史 申請人:株式會社日立製作所