「湘南モノレール事故、制御コンピュータに入り込んだノイズが原因か」記事へのコメント

心と体は別物？

[Anonymous Coward]

報告書を読んでみたら, 以下のような話に私には読み取れました。

・制御プログラム(というか制御回路？)にはウォッチドッグタイマー
    によるリセット機構があるが, これは制御プログラムはリセット
    するがその際にはモーターの駆動力は維持される回路構成になっている。

・不正割り込みの処理の際にウォッチドッグリセットのためのタイマも
    含めて禁止してそのまま放置してしまうためウォッチドッグリセット
    がかからなくなる。
    (報告書では不正なWDTリセット出力が継続と書かれているがこれはWDT
 

Re:

[tarosuke (2403)]

うぁひでぇ...と思ったらWDTタイムアウトで主動力切るって書いてあるよ？
問題はそこじゃなくて...

1. 不正割り込み時にタイマを含めた全ての割り込みを禁止
2. そもそも不正割り込みなんてのが入る
3. 実処理をタイマ割り込みではなくビジーループで回している
4. 処理が回っていないのにWDTリセット

あたりだろう。今回の原因は2から始まった1と4、特に1は凶悪で明らかなバグと言える。
3はおそらく4の原因だし、2は1がなければリカバリ可能だが何かが根本的に間違ってる。
3は、ビジーループで回したければ割り込みなんて使わずにタイマの値を直接読んで処理を回すべきだしなぁ...。

...てなところなんじゃなかろうか。

Re:心と体は別物？

[Anonymous Coward]

不正割り込みが入るような状況下では、もう何も信用できませんよ。

マイコンのフラッシュメモリに格納されたコードが化けているかもしれないし、メモリも化けているかもしれない。
一度だけでなく継続的に動作が怪しくなっている状況下では、ソフトウェアが堅牢に作られていても、正しく動作することは期待できません。

エラーを検出したら即時に停止すべきか・・・これは難しいですよ。
加速中にモーターの駆動をピタリと停止したら、乗客が怪我をします。立っている人が頭を強く打って亡くなることも。
また、停止してはいけない場所で停止すると別の事故が発生することも。

ノイズが入る時点で負けです。その後の敗戦処理が下手なことは副次的な問題でしかありません。

Re:心と体は別物？

[qem_morioka (30932)]

不具合(エラー)を検出した即時に停止すべきかどうかの判断は運転士が行います。

今回の問題は運転手が即時停止させようとしても動力が切れなかったことで
加速中のモーターの駆動を止めても加速が止まるだけで慣性で車両は動きつづけます。
それを止めるのがブレーキですよ。停止してはいけない場所で停止しても
動き続けるよりは安全で、後続列車との衝突は列車監視システムが・・・
なかったら確かに大惨事ですね(T_T

運転士が突然脳卒中とかで運転不能になったら?そのためのATSですが
今回ATSが停止信号出していても列車の制御系がノイズでやられてたので
役に立たなかったようで。ATSのようなシステムが無い場合は、もう一人
人をつけておいてますね。航空機(!=軍用機)のように。

>ノイズが入る時点で負けです。その後の敗戦処理が下手なことは副次的な問題でしかありません。

原因は完全につぶせませんよ。今回たまたまノイズが原因だとわかりましたが、
それ以外の原因で加速側にロックしたときにどう安全を確保するつもりですか?

Re:心と体は別物？

[tarosuke (2403)]

まー本当の意味で「ノイズで誤動作」ならそうなんだけど、今回はソフトがgdgdだから...
ソフトがちゃんとしてればリセットは期待できたケースだよ。