AT398952B - Verfahren und anordnung zur eingabe von informationen in signaltechnisch sichere rechenanlagen - Google Patents

Description

AT 398 952 B

Die Erfindung bezieht sich auf eine Anordnung zur Eingabe von Informationen in signaltechnisch sichere Rechenanlagen über signaltechnisch sichere Eingabeeinrichtungen, bei denen zur Verifizierung signaltechnisch sichere Anzeigen und signaltechnisch sichere Kommandofreigabetasten zu bedienen sind. in Betriebsieitstelien sicherheitstechnischer Anlagen (z.B. Stellwerke, Kraftwerke, militärische Einrichtun-5 gen) muß gewährleistet sein, daß keine Eingaben unkontrolliert in das System gelangen und daß ein Bediener sicherheitsrelevante Kommandos und Daten nur signaltechnisch sicher eingeben kann.

Neben den sicherheitsrelevanten Eingaben gibt es jedoch auch nicht sicherheitsrelevante Eingaben, wobei gerade diese Eingaben weitaus häufiger sind. Größere Mengen solcher Daten fallen z.B. bei der Vorverarbeitung von Daten für komplexe Systeme an. io Es sind mehrere Konzepte für elektronische Stellwerke mit signaltechnisch sicheren Rechnern bekannt (z.B. ETR 34 (1985), H. 11, S. 789 bis 796). Allen gemeinsam ist eine Bedienereingabe in die signaltechnisch sicheren Rechner, bei der zur Verifizierung sicherheitsreievanter Eingaben ein Verfahren gemäß dem "Pflichtenheft für Fernsteuerzentralen bei der DB” verwendet wird. Dazu müssen eine signaltechnisch sichere Taste (Kommandofreigabetaste) und eine signaltechnisch sichere Farbgraphikanzeige (Farbmonitor) 15 vorhanden sein.

Die zur Bearbeitung der Eingaben benutzten signaltechnisch sicheren Rechner sind entweder zweikana-lig oder nach dem 2-aus 3-Prinzip aufgebaut. Sowohl die Rechner als auch die darauf laufenden Programme müssen nach den Auflagen ständig auf ihre signaltechnische Sicherheit überprüft werden und auch die an den Rechner angeschlossene Ein- und Ausgabeperipherie ist ggf. einer Prüfung auf Rückwir-20 kungsfreiheit zu unterziehen. Diese Prüfungen sind nicht nur äußerst kosten- und zeitintensiv, sie behindern dadurch auch eine Umstellung und Einbeziehung modernerer Geräte und Verfahren für die Mensch-Maschine-Kommunikation.

So ist danach beispielsweise eine Bearbeitung großer Datenmengen - wie sie z.B. bei Vorverarbeitung der Eingabedaten für komplexe Systeme Vorkommen (z.B. halbautomatische Zugstraßeneinstellung oder 25 Einbindung von Textverarbeitung) - diese müssen durchaus nicht notwendigerweise signaltechnisch sicher sein - technisch und unter den gegebenen sicherheitstechnischen Gesichtspunkten inpraktikabel.

Aufgabe der Erfindung ist es, den aufgezeigten Prüfungsaufwand zu vermindern und dies mit einfachen Einrichtungen und Geräten für Ein- und Ausgabe zu realisieren, ohne daß für diese zusätzlich eine Prüfung auf signaltechnische Sicherheit notwendig wird, weder bei der ersten Installation noch bei Änderungen, so Diese Aufgabe wird für eine Anordnung der eingangs genannten Art dadurch gelöst, daß sämtliche Informationen über einen vorgeschalteten nicht sicheren Rechner eingegeben und zu Kommandos verarbeitet zum signaltechnisch sicheren Teil der Eingabeeinrichtung gelangen, daß dort sämtliche Kommandos nur noch automatisch auf signaltechnisch sichere Relevanz geprüft werden, wobei - wenn nicht sicherheitsrelevant - eine direkte Weiterleitung an eine Stellogik der Anlage erfolgt und nur - wenn sicherheitsrelevant -35 das zusätzliche Kommandosicherungsverfahren durchzuführen ist.

Zweckmäßig ist es, wenn der signaltechnisch sichere Teil aus einer sicheren Rechneranlage, einer signaltechnisch sicheren Kommandofreigabetaste und ggf. noch einer signaltechnisch sicheren Anzeige besteht und daß der sichere Rechner an den nicht sicheren Rechner mit dessen Ein-/Ausgabeperipherie angeschlossen ist. 40 Vorteilhaft ist es weiterhin, wenn der sichere Rechner über eine Busverbindung mit dem nicht sicheren Rechner in Verbindung steht, der seinerseits nicht sichere Anzeigen betreibt und über eine Eingabeeinrichtung sowie eine Schnittstelle für Externkommandos steuerbar ist.

Anhand eines schematischen Ausführungsbeispieles wird die Erfindung im nachstehenden näher erläutert. 45 Die Figur zeigt eine Eingabeeinrichtung für ein elektronisches Stellwerk. Danach ist ein signaitechnisch sicherer Rechner 1 über eine Busverbindung 2 mit der eigentlichen Stellwerkslogik 3 verbunden. An den Rechner 1 angeschlossen sind eine signaltechnisch sichere Anzeige 4, eine signaltechnisch sichere Freigabetaste 5 und ein nicht sicherer Rechner 6. Dieser nicht sichere Rechner 6 ist zusätzlich mit Ein- und Ausgabegeräten - einer Eingabeeinrichtung 7, z.B. Tastatur, und einer Anzeige 8 verbunden. so Mit Hilfe des Eingabeeinrichtung 7 gibt der Bediener aile Informationen nur in den nicht sicheren Teil der Eingabeeinrichtung ein. Er überprüft hier die Korrektheit seiner Eingaben anhand der Anzeige 8 und beendet seine Eingabe mittels einer Abschiußfunktion. Die Informationen oder auch verarbeite ten Kommandos werden daraufhin an den signaltechnisch sicheren Teil, d.h. den signaltechnisch sicheren Rechner 1, übergeben, in diesem wird das Kommando auf seine sicherheitstechnische Relevanz geprüft und, wenn 55 nicht sicherheitsrelevant, sofort an das Stellwerk 3 weitergeleitet. Ist dagegen das Kommando sicherheitsrelevant, dann wird durch Rechner 1 ein Kommandosicherungsverfahren eingeleitet und das Kommando erst nach einer evtl. Sicherungsbearbeitung an die sicherheitstechnische Anlage weitergeleitet. Die Sicherheitsbearbeitung umfaßt das Anzeigen der Informationen inclusive ggf. erforderlicher Zusatzinformationen auf der 2

Claims (2)

1. AT 398 952 B signaltechnisch sicheren Anzeige 4 (nicht notwendigerweise eine Farbgraphik) mit dem Hinweis darauf, daß es sich um eine sicherheitsrelevante Eingabe handelt. Erst nach Betätigung (inklusive Loslassen) der signaltechnisch sicheren Taste 5 wird dann dieses Kommando an das Stellwerk 3 weitergegeben. Der nicht sichere Rechner 6 kann mit seiner Peripherie auch dazu benutzt werden, aus dem Stellwerk kommende Informationen nicht sicher darzustellen oder auszudrucken. Für sogenannte Bereichsübersichtsanzeigen sowie Protokoll- und Störungsdrucke sind keine signaitechnisch sicheren Einrichtungen notwendig. Als signaltechnisch sichere Anzeige 4 im Sinne des hier beschriebenen Verfahrens kann ggf. auch eine nichtsichere Anzeige betrachtet werden, wenn Gewinnung, Übertragung, Verarbeitung und Darstellung der Informationen unabhängig von den in der Anzeige 8 dargesteilten sind. Die Inhalte der Anzeigen 4 und 8 werden durch den Bediener auf Gleichheit geprüft. In einer besonders vorteilhaften Ausführung kann der nicht sichere Teil der Eingabeeinrichtung mit einem PC (Personal Computer) realisiert werden. In einer Sonderform können auch mehrere Bediener mit mehreren nicht sicheren Rechnern 6, z.B. PCs, an den signaltechnisch nicht sicheren Rechner 1 angeschlossen werden, so daß auch für mehrere Bedienplätze nur ein sicherer Rechner 1 erforderlich wird. Die Kontrolle über alle sicherheitsrelevanten Eingaben liegt zweckmäßig bei nur einem Bediener. Durch die Erfindung ergibt sich neben einer Minimierung des signaltechnisch sicheren Aufwandes die Möglichkeit, billige, nicht sichere Personalcomputer (PCs) einzusetzen. Diese PCs sind billiger, einfacher zu programmieren und es steht eine umfangreichere Peripherie als für die sicheren Rechner höherer Anforderung zur Verfügung. Es ergeben sich aus der direkten Verwendbarkeit von auf PC ablaufbaren Programmen, aus z.B. Simultationen oder kommerziellen Programmpaketen, kürzere Entwicklungs- und Inbetriebnahmezeiten sowie ein höherer Bedienkomfort. Patentansprüche 1. Anordnung zur Eingabe von Informationen in signaltechnisch sichere Rechenanlagen über signaltechnisch sichere Eingabeeinrichtungen, bei denen zur Verifizierung signaltechnisch sichere Anzeigen und signaltechnisch sichere Kommandofreigabetasten zu bedienen sind, dadurch gekennzeichnet, daß sämtliche Informationen über einen vorgeschalteten nicht sicheren Rechner eingegeben und zu Kommandos verarbeitet zum signaltechnisch sicheren Teil der Eingabeeinrichtung gelangen , daß dort sämtliche Kommandos nur noch automatisch auf signaitechnisch sichere Relevanz geprüft werden, wobei - wenn nicht sicherheitsrelevant - eine direkte Weiterleitung an eine Stelllogik der Anlage erfolgt und nur - wenn sicherheitsrelevant - das zusätzliche Kommandosicherungsverfahren durchzuführen ist.
2. 2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß der signaltechnisch sichere Teil aus einer sicheren Rechneranlage (1), einer signaltechnisch sicheren Kommandofreigabetaste (5) und ggf. noch einer signaltechnisch sicheren Anzeige (4) besteht und daß der sichere Rechner an den nicht sicheren Rechner (6) mit dessen Ein-/Ausgabeperipherie (7, 8) angeschlossen ist. Hiezu 1 Blatt Zeichnungen 3